CVE-2019-13553

Hardcoded credentials w Rittal Chiller SK 3232 / Carel pCOWeb

CVSS 9.8v3.1pub. 2019-10-25upd. 2024-11-21

Interfejs webowy chłodnic Rittal SK 3232 oparty na firmware Carel pCOWeb zawiera zakodowane na stałe dane uwierzytelniające (hardcoded credentials). Podatność umożliwia nieuwierzytelnionemu atakującemu dostęp do systemu przez sieć i przejęcie kontroli nad jednostką chłodzącą.

▸ Pokaż oryginał (EN)

Rittal Chiller SK 3232-Series web interface as built upon Carel pCOWeb firmware A1.5.3 – B1.2.4. The authentication mechanism on affected systems is configured using hard-coded credentials. These credentials could allow attackers to influence the primary operations of the affected systems, namely turning the cooling unit on and off and setting the temperature set point.

🤖 Analiza AI

Jak działa

Mechanizm uwierzytelniania w interfejsie webowym urządzenia został skonfigurowany z użyciem statycznych, niezmiennych poświadczeń wbudowanych bezpośrednio w firmware (CWE-798). Atakujący znający te dane — a są one takie same dla wszystkich urządzeń danej serii — może zalogować się do interfejsu webowego bez żadnej dodatkowej interakcji ze strony ofiary. Ponieważ wektor ataku jest sieciowy (AV:N) i nie wymaga żadnych uprawnień ani interakcji użytkownika, atak może zostać przeprowadzony zdalnie wobec każdego dostępnego w sieci urządzenia.

Skutki

Atakujący uzyskuje pełną kontrolę nad jednostką chłodzącą, w tym możliwość włączania i wyłączania systemu chłodzenia oraz zmiany nastawionej temperatury, co może prowadzić do uszkodzenia chłodzonej infrastruktury lub zakłócenia ciągłości operacyjnej.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (doradztwo ICS-CERT ICSA-19-297-01). Do czasu wdrożenia poprawki zaleca się izolację urządzeń od sieci publicznych, umieszczenie ich za firewall oraz ograniczenie dostępu do interfejsu webowego wyłącznie do zaufanych adresów IP.

Kogo dotyczy

Rittal Chiller SK 3232-Series z interfejsem webowym opartym na firmware Carel pCOWeb w wersji A1.5.3 – B1.2.4

Uwagi

Podatność została upubliczniona 25 października 2019 r. poprzez listę Full Disclosure oraz doradztwo ICS-CERT ICSA-19-297-01. Dotyczy infrastruktury przemysłowej OT/ICS — systemów chłodzenia, których kompromitacja może mieć bezpośredni wpływ na fizyczne środowisko operacyjne.