CVE-2018-14802

Oprogramowanie FRENIC LOADER nieprawidłowo waliduje komentarze dostarczone przez użytkownika, co prowadzi do przepełnienia bufora na stosie (stack-based buffer overflow, CWE-121) oraz ogólnego błędu zarządzania pamięcią (CWE-119). Atakujący może spreparować złośliwy komentarz, który po przetworzeniu przez aplikację powoduje przekroczenie granic bufora i przejęcie przepływu wykonania programu. Wektor ataku jest sieciowy, nie wymaga uwierzytelnienia ani interakcji użytkownika.

Atakujący może zdalnie wykonać dowolny kod na systemie z uruchomionym oprogramowaniem FRENIC LOADER, co prowadzi do pełnego przejęcia kontroli nad hostem, utraty integralności i poufności danych oraz potencjalnego zakłócenia pracy sterowanych napędów przemysłowych.

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Szczegółowe zalecenia zawiera poradnik ICS-CERT ICSA-18-270-03. Dodatkowo zaleca się izolację systemów ICS od sieci korporacyjnych i internetu oraz ograniczenie dostępu do stacji z zainstalowanym oprogramowaniem FRENIC LOADER.

Fuji Electric FRENIC LOADER v3.3 (v7.3.4.1a) współpracujący z następującymi produktami: FRENIC-Mini (C1), FRENIC-Mini (C2), FRENIC-Eco, FRENIC-Multi, FRENIC-MEGA, FRENIC-Ace

Podatność dotyczy oprogramowania narzędziowego klasy ICS używanego do konfiguracji przemysłowych przetwornic częstotliwości Fuji Electric. Poradnik bezpieczeństwa opublikowany przez ICS-CERT (US-CERT) w dniu 27 września 2018 r. pod sygnaturą ICSA-18-270-03.