CVE-2018-14790

Podatność (CWE-125/CWE-126) polega na odczycie danych poza granicami przydzielonego bufora podczas przetwarzania danych wejściowych przez oprogramowanie FRENIC LOADER. Błąd dotyczy nieprawidłowej obsługi ciągów znaków (buffer over-read), co może prowadzić do ujawnienia zawartości pamięci lub destabilizacji procesu. W konsekwencji możliwe jest zdalne wykonanie kodu (RCE) na dotkniętym urządzeniu bez konieczności posiadania jakichkolwiek uprawnień.

Atakujący może zdalnie przejąć kontrolę nad urządzeniem poprzez wykonanie dowolnego kodu (RCE), co w środowisku przemysłowym (ICS/SCADA) może prowadzić do zakłócenia lub przejęcia kontroli nad procesami technologicznymi. Możliwe jest również ujawnienie wrażliwych danych z pamięci urządzenia.

Należy zastosować patche dostępne u producenta zgodnie z referencjami (zalecenie ICS-CERT ICSA-18-270-03). Dodatkowo zaleca się ograniczenie dostępu sieciowego do systemów sterowania przemysłowego oraz izolację sieci OT/ICS od sieci korporacyjnej i internetu zgodnie z dobrymi praktykami bezpieczeństwa ICS.

Fuji Electric FRENIC LOADER v3.3 (wersja 7.3.4.1a) obsługujący następujące napędy: FRENIC-Mini (C1), FRENIC-Mini (C2), FRENIC-Eco, FRENIC-Multi, FRENIC-MEGA, FRENIC-Ace

Podatność dotyczy oprogramowania przemysłowego klasy ICS/SCADA (przemienniki częstotliwości Fuji Electric). Została opublikowana przez ICS-CERT jako advisory ICSA-18-270-03 w dniu 27 września 2018 r.