CVE-2021-23856

Reflected XSS w serwerze web Bosch Rexroth Indramotion MLC L20/L40

CVSS 10.0v3.1pub. 2021-10-04upd. 2024-11-21

Serwer web sterowników Bosch Rexroth Indramotion MLC L20 i L40 jest podatny na reflected XSS, co umożliwia atakującemu zdalne wykonanie złośliwych skryptów w przeglądarce ofiary. Podatność otrzymała maksymalny wynik CVSS 10.0, co czyni ją ekstremalnie krytyczną w środowiskach przemysłowych.

▸ Pokaż oryginał (EN)

The web server is vulnerable to reflected XSS and therefore an attacker might be able to execute scripts on a client’s computer by sending the client a manipulated URL.

🤖 Analiza AI

Jak działa

Atakujący przygotowuje specjalnie spreparowany URL zawierający złośliwy payload XSS i nakłania użytkownika do jego otwarcia. Serwer web urządzenia nie filtruje poprawnie danych wejściowych zawartych w żądaniu HTTP, przez co zwraca je w odpowiedzi bez odpowiedniego kodowania. Przeglądarka klienta interpretuje zwrócone dane jako kod skryptu i wykonuje go w kontekście sesji użytkownika.

Skutki

Atakujący może wykonać dowolny skrypt w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przechwycenia danych uwierzytelniających lub wykonania nieautoryzowanych operacji w interfejsie webowym urządzenia przemysłowego. W środowisku OT/ICS skutki mogą obejmować nieautoryzowaną modyfikację parametrów sterowania maszyną.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://psirt.bosch.com/security-advisories/bosch-sa-741752.html). Dodatkowo zaleca się ograniczenie dostępu do interfejsu webowego urządzeń wyłącznie do zaufanych sieci oraz unikanie klikania w nieznane linki przez operatorów mających dostęp do panelu webowego