CVE-2018-18996

RCE przez brak autoryzacji i sanityzacji danych w LCDS Laquis SCADA

CVSS 9.8v3.0pub. 2019-02-05upd. 2024-11-21

Podatność w oprogramowaniu LCDS Laquis SCADA umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie kodu na serwerze. Wysokie ryzyko wynika z braku zarówno autoryzacji, jak i sanityzacji danych wejściowych dostarczanych przez użytkownika.

▸ Pokaż oryginał (EN)

LCDS Laquis SCADA prior to version 4.1.0.4150 allows taking in user input without proper authorization or sanitation, which may allow an attacker to execute remote code on the server.

🤖 Analiza AI

Jak działa

Aplikacja przyjmuje dane wejściowe od użytkownika bez weryfikacji tożsamości (brak autoryzacji) oraz bez odpowiedniego oczyszczania tych danych (brak sanityzacji). Atakujący może przesłać spreparowane dane, które zostaną przetworzone przez serwer w niezamierzony sposób, prowadząc do wykonania dowolnego kodu. Ze względu na wektor sieciowy (AV:N) i brak wymagań dotyczących interakcji użytkownika ani uprawnień, atak może być przeprowadzony całkowicie zdalnie i bez uwierzytelnienia.

Skutki

Atakujący może uzyskać pełną kontrolę nad serwerem, w tym dostęp do poufnych danych, możliwość modyfikacji konfiguracji systemu SCADA oraz zakłócenia jego działania. W środowiskach przemysłowych może to prowadzić do poważnych konsekwencji operacyjnych.

Mitygacja

Należy zaktualizować LCDS Laquis SCADA do wersji 4.1.0.4150 lub nowszej. Szczegółowe informacje dostępne są w poradniku ICS-CERT ICSA-19-015-01. Dodatkowo zaleca się ograniczenie dostępu sieciowego do systemu SCADA zgodnie z zasadami segmentacji sieci przemysłowych.

Kogo dotyczy

LCDS Laquis SCADA w wersjach wcześniejszych niż 4.1.0.4150

Uwagi

Podatność dotyczy systemu klasy ICS/SCADA, co nadaje jej szczególne znaczenie w kontekście bezpieczeństwa infrastruktury przemysłowej. Poradnik opublikowany przez ICS-CERT (ICSA-19-015-01) stanowi oficjalne źródło informacji dla administratorów systemów OT.