CVE-2021-38395

Podatność wynika z braku odpowiedniej neutralizacji znaków specjalnych w danych wyjściowych generowanych przez sterowniki (CWE-74 — injection). Atakujący może dostarczyć specjalnie spreparowane dane, które po przetworzeniu przez sterownik zostaną zinterpretowane jako polecenia lub kod. Ponieważ wektor ataku jest sieciowy, nie wymaga fizycznego dostępu ani uprawnień, co znacząco zwiększa ryzyko eksploatacji w środowiskach przemysłowych.

Atakujący może zdalnie wykonać dowolny kod na podatnym sterowniku przemysłowym (RCE) lub spowodować jego niedostępność (DoS), co w środowiskach OT/ICS może skutkować zakłóceniem lub zatrzymaniem procesów przemysłowych.

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegółowe informacje zawiera poradnik CISA ICS Advisory ICSA-21-278-04 oraz powiadomienie Honeywell SN2021-02-22-01. Zaleca się również izolację sterowników od sieci korporacyjnych oraz ograniczenie dostępu sieciowego do urządzeń ICS zgodnie z praktykami bezpieczeństwa dla środowisk OT.

Honeywell Experion PKS C200, C200E, C300 oraz ACE — wersje wskazane w referencjach producenta (CISA ICS Advisory ICSA-21-278-04 oraz powiadomienie Honeywell SN2021-02-22-01)