CVE-2021-27468

SQL Injection bez uwierzytelnienia w Rockwell Automation FactoryTalk AssetCentre

CVSS 10.0v3.1pub. 2022-03-23upd. 2024-11-21

Usługa AosService.rem w Rockwell Automation FactoryTalk AssetCentre v10.00 i wcześniejszych udostępnia funkcje bez wymaganego uwierzytelnienia, co umożliwia zdalne wykonanie dowolnych poleceń SQL. Podatność jest krytyczna ze względu na brak jakichkolwiek barier dostępu dla nieuwierzytelnionego atakującego.

▸ Pokaż oryginał (EN)

The AosService.rem service in Rockwell Automation FactoryTalk AssetCentre v10.00 and earlier exposes functions lacking proper authentication. This vulnerability may allow a remote, unauthenticated attacker to execute arbitrary SQL statements.

🤖 Analiza AI

Jak działa

Usługa AosService.rem eksponuje funkcje sieciowe, które nie wymagają uwierzytelnienia przed ich wywołaniem. Zdalny atakujący może bezpośrednio komunikować się z tą usługą i przekazywać niezwalidowane dane wejściowe, które trafiają do zapytań SQL (SQL injection, CWE-89). Pozwala to na wykonanie dowolnych instrukcji SQL w kontekście bazy danych systemu.

Skutki

Atakujący może odczytywać poufne dane przechowywane w bazie danych systemu (naruszenie poufności) oraz potencjalnie zakłócać dostępność systemu poprzez manipulację bazą danych. Atak możliwy jest zdalnie, bez żadnych poświadczeń.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (poradnik Rockwell Automation o numerze 1130831 oraz advisory CISA ICSA-21-091-01). Dodatkowo zaleca się ograniczenie dostępu sieciowego do usługi AosService.rem wyłącznie do zaufanych hostów za pomocą firewall lub segmentacji sieci.