CVE-2021-20093

Buffer over-read w Wibu-Systems CodeMeter — ujawnienie pamięci lub crash

CVSS 9.1v3.1pub. 2021-06-16upd. 2024-11-21

W Wibu-Systems CodeMeter w wersjach poniżej 7.21a istnieje podatność typu buffer over-read (CWE-125), umożliwiająca nieuwierzytelnionemu atakującemu zdalny dostęp do zawartości pamięci heap lub wymuszenie awarii serwera. Podatność jest krytyczna ze względu na brak wymagań uwierzytelnienia i sieciowy wektor ataku.

▸ Pokaż oryginał (EN)

A buffer over-read vulnerability exists in Wibu-Systems CodeMeter versions < 7.21a. An unauthenticated remote attacker can exploit this issue to disclose heap memory contents or crash the CodeMeter Runtime Server.

🤖 Analiza AI

Jak działa

Błąd polega na odczycie danych poza granicami przydzielonego bufora (buffer over-read) w procesie CodeMeter Runtime Server. Atakujący może wysłać specjalnie spreparowane żądanie sieciowe bez konieczności posiadania jakichkolwiek poświadczeń. Takie żądanie powoduje odczyt zawartości pamięci heap poza przeznaczonym obszarem lub destabilizuje działanie serwera prowadząc do jego awarii.

Skutki

Atakujący może ujawnić wrażliwe dane przechowywane w pamięci heap serwera CodeMeter Runtime (np. klucze licencyjne, dane konfiguracyjne) lub doprowadzić do niedostępności usługi (crash serwera), co może wpłynąć na działanie systemów przemysłowych korzystających z licencjonowania Wibu-Systems.

Mitygacja

Należy zaktualizować Wibu-Systems CodeMeter do wersji 7.21a lub nowszej. W przypadku produktów Siemens należy zastosować patche dostępne u producenta zgodnie z referencjami (advisory Siemens SSA-675303 oraz CISA ICS-CERT ICSA-21-210-02). Zaleca się również ograniczenie dostępu sieciowego do portu CodeMeter Runtime Server wyłącznie do zaufanych hostów.

Kogo dotyczy

Wibu-Systems CodeMeter w wersjach poniżej 7.21a. Podatność dotyczy również produktów integrujących CodeMeter: Siemens PSS CAPE, Siemens SICAM 230 (Firmware), Siemens SIMATIC Information Server — w wersjach wskazanych w referencjach producentów.