CVE-2020-6994

Buffer overflow w Hirschmann HiOS i HiSecOS — zdalne wykonanie kodu

CVSS 9.8v3.1pub. 2020-04-03upd. 2024-11-21

Krytyczna podatność typu buffer overflow została odkryta w urządzeniach Hirschmann Automation and Control wykorzystujących oprogramowanie HiOS oraz HiSecOS. Nieprawidłowe przetwarzanie argumentów URL w żądaniach HTTP umożliwia atakującemu zdalne przepełnienie wewnętrznego bufora bez żadnego uwierzytelnienia.

▸ Pokaż oryginał (EN)

A buffer overflow vulnerability was found in some devices of Hirschmann Automation and Control HiOS and HiSecOS. The vulnerability is due to improper parsing of URL arguments. An attacker could exploit this vulnerability by specially crafting HTTP requests to overflow an internal buffer. The following devices using HiOS Version 07.0.02 and lower are affected: RSP, RSPE, RSPS, RSPL, MSP, EES, EES, EESX, GRS, OS, RED. The following devices using HiSecOS Version 03.2.00 and lower are affected: EAGLE20/30.

🤖 Analiza AI

Jak działa

Podatność wynika z braku właściwej walidacji (improper parsing) argumentów URL przekazywanych w żądaniach HTTP. Atakujący może spreparować specjalnie skonstruowane żądanie HTTP, które powoduje przepełnienie wewnętrznego bufora (buffer overflow) w podatnym urządzeniu. Ze względu na wektor sieciowy (AV:N) i brak wymagań dotyczących uwierzytelnienia (PR:N) lub interakcji użytkownika (UI:N), atak może być przeprowadzony zdalnie przez sieć.

Skutki

Skuteczne wykorzystanie podatności może umożliwić atakującemu pełne przejęcie kontroli nad urządzeniem, w tym naruszenie poufności, integralności i dostępności systemu — co jest szczególnie groźne w środowiskach przemysłowych i infrastrukturze krytycznej.

Mitygacja

Należy zaktualizować oprogramowanie HiOS do wersji wyższej niż 07.0.02 oraz HiSecOS do wersji wyższej niż 03.2.00. Szczegółowe instrukcje dotyczące aktualizacji dostępne są w poradniku ICS-CERT ICSA-20-091-01. Zaleca się również ograniczenie dostępu do interfejsu HTTP urządzeń poprzez segmentację sieci i stosowanie firewalli.

Kogo dotyczy

Urządzenia Hirschmann z oprogramowaniem HiOS w wersji 07.0.02 i niższej (modele: RSP, RSPE, RSPS, RSPL, MSP, EES, EESX, GRS, OS, RED) oraz urządzenia z oprogramowaniem HiSecOS w wersji 03.2.00 i niższej (modele: EAGLE20/30).

Uwagi

Podatność dotyczy urządzeń przemysłowych (OT/ICS) stosowanych w automatyce i infrastrukturze krytycznej, co podwyższa potencjalny wpływ jej wykorzystania. Informacje opublikowane przez ICS-CERT w poradniku ICSA-20-091-01 w dniu 2020-04-03.