CVE-2018-10612

CODESYS Control V3 — brak domyślnego uwierzytelniania i szyfrowania komunikacji

CVSS 9.8v3.0pub. 2019-01-29upd. 2024-11-21

Produkty CODESYS Control V3 firmy 3S-Smart Software Solutions w wersjach wcześniejszych niż 3.5.14.0 domyślnie nie wymuszają zarządzania dostępem użytkowników ani szyfrowania komunikacji. Pozwala to nieuwierzytelnionemu atakującemu zdalnie uzyskać dostęp do urządzenia i poufnych danych, w tym poświadczeń użytkowników.

▸ Pokaż oryginał (EN)

In 3S-Smart Software Solutions GmbH CODESYS Control V3 products prior to version 3.5.14.0, user access management and communication encryption is not enabled by default, which could allow an attacker access to the device and sensitive information, including user credentials.

🤖 Analiza AI

Jak działa

Domyślna konfiguracja produktów CODESYS Control V3 nie aktywuje mechanizmów kontroli dostępu ani szyfrowania transmisji. Atakujący, mający dostęp sieciowy do urządzenia, może bez podawania poświadczeń komunikować się z systemem i odczytywać przesyłane dane. Ruch sieciowy nie jest szyfrowany, więc możliwe jest przechwycenie poświadczeń użytkowników oraz innych wrażliwych informacji w postaci jawnej.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do urządzenia przemysłowego oraz wykraść poświadczenia użytkowników i inne wrażliwe dane, co może prowadzić do dalszego przejęcia kontroli nad systemem sterowania.

Mitygacja

Należy zaktualizować oprogramowanie CODESYS Control V3 do wersji 3.5.14.0 lub nowszej. Dodatkowo zaleca się ręczne włączenie zarządzania dostępem użytkowników oraz szyfrowania komunikacji, a także ograniczenie dostępu sieciowego do urządzeń przemysłowych poprzez segmentację sieci i firewall. Szczegółowe wskazówki zawiera poradnik ICS-CERT ICSA-18-352-03.

Kogo dotyczy

3S-Smart Software Solutions CODESYS Control V3 w wersjach wcześniejszych niż 3.5.14.0, w tym produkty: CODESYS Control for BeagleBone SL, CODESYS Control for EMPC-A/iMX6 SL, CODESYS Control for IOT2000 SL, CODESYS Control for Linux SL, CODESYS Control for PFC100 SL.

Uwagi

Podatność opisana w poradniku ICS-CERT ICSA-18-352-03, dotyczącym systemów sterowania przemysłowego (ICS/SCADA). Dotyczy środowisk OT, gdzie aktualizacja oprogramowania może wymagać zaplanowanego okna serwisowego.