CVE-2020-5599

Argument Injection w firmware GOT2000 Mitsubishi Electric — RCE przez sieć

CVSS 9.8v3.1pub. 2020-07-07upd. 2024-11-21

Podatność typu Argument Injection w stosie TCP/IP firmware serii GOT2000 firmy Mitsubishi Electric umożliwia zdalnemu atakującemu wykonanie złośliwego programu lub zatrzymanie funkcji sieciowych urządzenia. Brak wymogu uwierzytelnienia oraz sieciowy wektor ataku czynią tę podatność szczególnie groźną dla środowisk przemysłowych.

▸ Pokaż oryginał (EN)

TCP/IP function included in the firmware of Mitsubishi Electric GOT2000 series (CoreOS with version -Y and earlier installed in GT27 Model, GT25 Model, and GT23 Model) contains an improper neutralization of argument delimiters in a command ('Argument Injection') vulnerability, which may allow a remote attacker to stop the network functions of the products or execute a malicious program via a specially crafted packet.

🤖 Analiza AI

Jak działa

Implementacja funkcji TCP/IP osadzona w firmware urządzeń GOT2000 (CoreOS w wersji -Y i wcześniejszych) nie neutralizuje prawidłowo separatorów argumentów w przetwarzanych poleceniach. Atakujący może wysłać specjalnie spreparowany pakiet sieciowy, który zostanie nieprawidłowo zinterpretowany przez stos TCP/IP, powodując wstrzyknięcie dodatkowych argumentów do wykonywanego polecenia. W rezultacie możliwe jest zdalne wykonanie złośliwego kodu lub wywołanie odmowy działania funkcji sieciowych urządzenia.

Skutki

Atakujący może zdalnie wykonać złośliwy program na podatnym urządzeniu (RCE) lub całkowicie wyłączyć jego funkcje sieciowe, co w środowiskach przemysłowych może prowadzić do utraty kontroli nad procesami produkcyjnymi.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegółowe informacje dostępne w biuletynie Mitsubishi Electric PSIRT (2020-005) oraz publikacji JVN JVNVU95413676.