CVE-2021-27460

Niebezpieczna deserializacja w Rockwell FactoryTalk AssetCentre — pełny dostęp bez uwierzytelnienia

CVSS 10.0v3.1pub. 2022-03-23upd. 2024-11-21

Rockwell Automation FactoryTalk AssetCentre v10.00 i wcześniejsze zawierają podatne endpointy .NET remoting, które deserializują niezaufane dane bez odpowiedniej weryfikacji. Podatność pozwala zdalnemu, nieuwierzytelnionemu atakującemu uzyskać pełny dostęp do serwera głównego i wszystkich maszyn agentów.

▸ Pokaż oryginał (EN)

Rockwell Automation FactoryTalk AssetCentre v10.00 and earlier components contain .NET remoting endpoints that deserialize untrusted data without sufficiently verifying that the resulting data will be valid. This vulnerability may allow a remote, unauthenticated attacker to gain full access to the FactoryTalk AssetCentre main server and all agent machines.

🤖 Analiza AI

Jak działa

Komponenty systemu FactoryTalk AssetCentre udostępniają endpointy .NET remoting, które przyjmują i przetwarzają dane przesłane przez sieć. Mechanizm deserializacji nie weryfikuje w wystarczającym stopniu, czy odbierane dane są bezpieczne i prawidłowe. Atakujący może przesłać spreparowany, złośliwy payload do tych endpointów bez konieczności posiadania jakichkolwiek poświadczeń, co prowadzi do wykonania arbitralnego kodu po stronie serwera.

Skutki

Atakujący może uzyskać pełny, nieautoryzowany dostęp do głównego serwera FactoryTalk AssetCentre oraz wszystkich podłączonych maszyn agentów, co w środowisku przemysłowym (OT/ICS) może skutkować przejęciem kontroli nad infrastrukturą operacyjną.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (poradnik Rockwell Automation oraz advisory CISA ICSA-21-091-01). Zaleca się również ograniczenie dostępu sieciowego do endpointów .NET remoting poprzez firewall oraz izolację systemów ICS/SCADA od sieci korporacyjnych i internetu.

Kogo dotyczy

Rockwell Automation FactoryTalk AssetCentre w wersji 10.00 i wcześniejszych

Uwagi

Podatność dotyczy infrastruktury przemysłowej (ICS/SCADA). Advisory CISA opublikowano pod numerem ICSA-21-091-01. Maksymalny wynik CVSS 10.0 wynika z możliwości ataku zdalnego, bez uwierzytelnienia i interakcji użytkownika, z wpływem na poufność i dostępność w zakresie wykraczającym poza atakowany system (Scope: Changed).