W systemach myjni automatycznych PDQ Manufacturing z serii LaserWash i ProTouch dane logowania (nazwa użytkownika i hasło) są przesyłane bez szyfrowania. Podatność umożliwia przechwycenie poświadczeń przez nieuwierzytelnionego napastnika w sieci.
▸ Pokaż oryginał (EN)
A Missing Encryption of Sensitive Data issue was discovered in PDQ Manufacturing LaserWash G5 and G5 S Series all versions, LaserWash M5, all versions, LaserWash 360 and 360 Plus, all versions, LaserWash AutoXpress and AutoExpress Plus, all versions, LaserJet, all versions, ProTouch Tandem, all versions, ProTouch ICON, all versions, and ProTouch AutoGloss, all versions. The username and password are transmitted insecurely.
Urządzenia serii LaserWash i ProTouch przesyłają dane uwierzytelniające (login i hasło) kanałem komunikacyjnym pozbawionym szyfrowania (CWE-311 — Missing Encryption of Sensitive Data). Atakujący posiadający dostęp do segmentu sieci, w którym działa urządzenie, może za pomocą standardowych narzędzi do przechwytywania ruchu (np. sniffera) odczytać poświadczenia w postaci jawnej. Uzyskane dane mogą posłużyć do przejęcia kontroli nad urządzeniem przemysłowym sterującym procesem mycia pojazdów.
Atakujący może przejąć pełną kontrolę nad systemem sterowania myjnią automatyczną, co grozi nieautoryzowaną manipulacją procesem mycia, uszkodzeniem mienia lub zagrożeniem bezpieczeństwa fizycznego osób przebywających w pobliżu urządzenia.
Należy zastosować patche dostępne u producenta zgodnie z referencjami (ICSA-17-208-03). Dodatkowo zaleca się izolację urządzeń w dedykowanym segmencie sieci OT/ICS, ograniczenie dostępu sieciowego wyłącznie do autoryzowanych stacji oraz monitorowanie ruchu sieciowego w poszukiwaniu nieautoryzowanych prób przechwycenia danych.
PDQ Manufacturing LaserWash G5 i G5 S Series (wszystkie wersje), LaserWash M5 (wszystkie wersje), LaserWash 360 i 360 Plus (wszystkie wersje), LaserWash AutoXpress i AutoExpress Plus (wszystkie wersje), LaserJet (wszystkie wersje), ProTouch Tandem (wszystkie wersje), ProTouch ICON (wszystkie wersje), ProTouch AutoGloss (wszystkie wersje)
Podatność dotyczy systemów sterowania infrastrukturą przemysłową (ICS/OT) — myjniami automatycznymi. Poradnik bezpieczeństwa został opublikowany przez ICS-CERT (ICSA-17-208-03) w dniu 2017-08-07.
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HPdqinc Laserjet
HWPdqincwszystkie wersjePdqinc Laserjet Firmware
OSPdqincwszystkie wersjePdqinc Laserwash 360
HWPdqincwszystkie wersjePdqinc Laserwash 360 Firmware
OSPdqincwszystkie wersjePdqinc Laserwash 360 Plus
HWPdqincwszystkie wersjePdqinc Laserwash 360 Plus Firmware
OSPdqincwszystkie wersjePdqinc Laserwash Autoxpress
HWPdqincwszystkie wersjePdqinc Laserwash Autoxpress Firmware
OSPdqincwszystkie wersjePdqinc Laserwash Autoxpress Plus
HWPdqincwszystkie wersjePdqinc Laserwash Autoxpress Plus Firmware
OSPdqincwszystkie wersjePdqinc Laserwash G5
HWPdqincwszystkie wersjePdqinc Laserwash G5 Firmware
OSPdqincwszystkie wersjePdqinc Laserwash G5 S
HWPdqincwszystkie wersjePdqinc Laserwash G5 S Firmware
OSPdqincwszystkie wersjePdqinc Laserwash M5
HWPdqincwszystkie wersjePdqinc Laserwash M5 Firmware
OSPdqincwszystkie wersjePdqinc Protouch Autogloss
HWPdqincwszystkie wersjePdqinc Protouch Autogloss Firmware
OSPdqincwszystkie wersjePdqinc Protouch Icon
HWPdqincwszystkie wersjePdqinc Protouch Icon Firmware
OSPdqincwszystkie wersjePdqinc Protouch Tandem
HWPdqincwszystkie wersjePdqinc Protouch Tandem Firmware
OSPdqincwszystkie wersje