CVE-2019-18269

Omron PLC CS/CJ — nieograniczony dostęp do blokady z sieci zewnętrznej

CVSS 9.8v3.1pub. 2019-12-16upd. 2026-06-02

Sterowniki PLC Omron serii CS i CJ posiadają podatność polegającą na nieograniczonym, zewnętrznie dostępnym mechanizmie blokady (unrestricted externally accessible lock). Umożliwia to zdalnemu atakującemu bez uwierzytelnienia wpłynięcie na działanie sterownika, co w środowisku przemysłowym może prowadzić do poważnych zakłóceń procesów technologicznych.

▸ Pokaż oryginał (EN)

Omron’s CS and CJ series PLCs have an unrestricted externally accessible lock vulnerability.

🤖 Analiza AI

Jak działa

Podatność wynika z braku odpowiednich ograniczeń dostępu do mechanizmu blokady (lock) w sterowniku PLC. Nieautoryzowany atakujący z dostępem sieciowym może z zewnątrz skorzystać z tego mechanizmu bez konieczności posiadania jakichkolwiek poświadczeń. Wektor ataku jest sieciowy (AV:N), nie wymaga interakcji użytkownika ani specjalnych uprawnień (PR:N, UI:N), co czyni exploit wyjątkowo łatwym do przeprowadzenia.

Skutki

Atakujący może uzyskać pełną kontrolę nad sterownikiem PLC, potencjalnie naruszając poufność, integralność i dostępność urządzenia (C:H/I:H/A:H). W środowisku przemysłowym może to skutkować zatrzymaniem lub nieautoryzowaną modyfikacją procesów produkcyjnych i sterowniczych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://www.omron-cxone.com/security/2019-12-06_PLC_EN.pdf oraz https://www.us-cert.gov/ics/advisories/icsa-19-346-02). Dodatkowo zaleca się izolację sterowników PLC od sieci publicznych, stosowanie firewalli oraz segmentację sieci OT/IT zgodnie z zaleceniami ICS-CERT.

Kogo dotyczy

Sterowniki PLC Omron serii CS oraz CJ (firmware) — konkretne wersje wskazane w referencjach producenta (doradztwo bezpieczeństwa Omron z 2019-12-06 oraz ICS-CERT ICSA-19-346-02)

Uwagi

Podatność dotyczy infrastruktury przemysłowej (ICS/SCADA). Poradnik bezpieczeństwa producenta Omron został opublikowany 2019-12-06, a CVE opublikowano 2019-12-16. Rekomendowane jest szczególne uwzględnienie tej podatności w środowiskach, gdzie sterowniki CS/CJ mają jakikolwiek dostęp sieciowy.