CVE-2021-27428

Nieautoryzowana aktualizacja firmware w GE Multilin UR IED

CVSS 9.8v3.1pub. 2022-03-23upd. 2024-11-21

Urządzenia GE UR IED z firmware poniżej wersji 8.1x umożliwiają nieautoryzowanym użytkownikom wgranie dowolnego firmware bez posiadania odpowiednich uprawnień. Jest to szczególnie niebezpieczne w środowiskach przemysłowych i infrastruktury krytycznej, gdzie kompromitacja oprogramowania układowego może prowadzić do poważnych zakłóceń operacyjnych.

▸ Pokaż oryginał (EN)

GE UR IED firmware versions prior to version 8.1x supports upgrading firmware using UR Setup configuration tool – Enervista UR Setup. This UR Setup tool validates the authenticity and integrity of firmware file before uploading the UR IED. An illegitimate user could upgrade firmware without appropriate privileges. The weakness is assessed, and mitigation is implemented in firmware Version 8.10.

🤖 Analiza AI

Jak działa

Narzędzie konfiguracyjne UR Setup (Enervista UR Setup) służy do aktualizacji firmware urządzeń UR IED. Narzędzie wprawdzie weryfikuje autentyczność i integralność pliku firmware przed jego wgraniem, jednak mechanizm kontroli dostępu jest niewystarczający — nieautoryzowany użytkownik może przeprowadzić proces aktualizacji bez posiadania stosownych uprawnień. Luka sklasyfikowana jako CWE-434 (Unrestricted Upload of File with Dangerous Type) pozwala na wgranie złośliwego lub niezatwierdzonego pliku firmware do urządzenia.

Skutki

Atakujący bez wymaganych uprawnień może zainstalować na urządzeniu dowolny firmware, co może prowadzić do pełnego przejęcia kontroli nad urządzeniem IED, zakłócenia pracy infrastruktury energetycznej lub wprowadzenia złośliwego kodu do środowiska OT.

Mitygacja

Należy zaktualizować firmware urządzeń GE UR IED do wersji 8.10 lub nowszej, w której producent wdrożył odpowiednie zabezpieczenia. Szczegółowe instrukcje dostępne są w poradniku CISA ICS-CERT ICSA-21-075-02 oraz na portalu GE Grid Solutions (wymagane uwierzytelnienie).

Kogo dotyczy

GE Multilin B30, B90, C60 oraz inne urządzenia z serii GE UR IED z firmware w wersjach wcześniejszych niż 8.1x

Uwagi

Podatność dotyczy środowisk przemysłowych (OT/ICS) — urządzeń IED stosowanych w sieciach elektroenergetycznych. Mitygacja została wdrożona przez producenta w firmware w wersji 8.10, co potwierdzono w opisie oryginalnym.