CVE-2018-18998

Zakodowane na stałe dane uwierzytelniające w LCDS Laquis SCADA

CVSS 9.8v3.0pub. 2019-02-05upd. 2024-11-21

LCDS Laquis SCADA w wersjach poprzedzających 4.1.0.4150 zawiera zakodowane na stałe (hard coded) dane uwierzytelniające. Umożliwia to atakującemu nieautoryzowany dostęp do systemu z wysokimi uprawnieniami bez konieczności posiadania prawidłowych poświadczeń.

▸ Pokaż oryginał (EN)

LCDS Laquis SCADA prior to version 4.1.0.4150 uses hard coded credentials, which may allow an attacker unauthorized access to the system with high privileges.

🤖 Analiza AI

Jak działa

Oprogramowanie SCADA zawiera wbudowane na stałe w kod źródłowy dane uwierzytelniające (CWE-798), które nie mogą zostać zmienione przez administratora w standardowy sposób. Atakujący, który pozna te poświadczenia, może uwierzytelnić się w systemie przez sieć bez żadnej interakcji ze strony użytkownika. Ze względu na sieciowy wektor ataku (AV:N) oraz brak wymagań dotyczących uprawnień (PR:N) i interakcji użytkownika (UI:N), próg wejścia dla potencjalnego napastnika jest bardzo niski.

Skutki

Atakujący uzyskuje nieautoryzowany dostęp do systemu SCADA z wysokimi uprawnieniami, co w środowiskach przemysłowych może prowadzić do naruszenia poufności, integralności oraz dostępności danych i procesów sterowania.

Mitygacja

Należy zaktualizować LCDS Laquis SCADA do wersji 4.1.0.4150 lub nowszej. Szczegółowe zalecenia dostępne są w poradniku ICS-CERT ICSA-19-015-01. Dodatkowo zaleca się izolację systemów SCADA od sieci publicznych oraz stosowanie firewalli i kontroli dostępu sieciowego.

Kogo dotyczy

LCDS Laquis SCADA w wersjach wcześniejszych niż 4.1.0.4150

Uwagi

Podatność dotyczy systemu klasy ICS/SCADA, co zwiększa potencjalne ryzyko dla infrastruktury przemysłowej i krytycznej. Poradnik został opublikowany przez ICS-CERT (ICSA-19-015-01).