CVE-2021-38397

Podatność wynika z braku odpowiednich mechanizmów weryfikacji przesyłanych plików (CWE-434 — Unrestricted Upload of File with Dangerous Type). Atakujący nieuwierzytelniony, działający zdalnie przez sieć, może przesłać złośliwy plik do podatnego kontrolera. Brak walidacji typu i zawartości pliku pozwala następnie na jego wykonanie po stronie urządzenia, prowadząc do przejęcia kontroli nad systemem lub jego niedostępności.

Atakujący może zdalnie wykonać dowolny kod na kontrolerze (RCE) oraz wywołać stan odmowy usługi (DoS), co w środowisku przemysłowym może prowadzić do zakłócenia lub zatrzymania procesów technologicznych.

Należy zastosować patche dostępne u producenta zgodnie z referencjami — advisory CISA ICSA-21-278-04 oraz powiadomienie Honeywell SN2021-02-22-01. Dodatkowo zaleca się izolację sieci OT/ICS od sieci korporacyjnych i internetu, ograniczenie dostępu do kontrolerów wyłącznie do autoryzowanych hostów oraz monitoring ruchu sieciowego na urządzeniach przemysłowych.

Honeywell Experion PKS C200, C200E, C300 oraz ACE — wersje wskazane w referencjach producenta (advisory ICSA-21-278-04 oraz powiadomienie Honeywell SN2021-02-22-01)

Podatność dotyczy systemów sterowania procesami (ICS/OT) klasy Honeywell Experion PKS, stosowanych w infrastrukturze przemysłowej. Wektor CVSS 10.0 wskazuje na brak wymagań co do uwierzytelnienia, interakcji użytkownika oraz zasięg obejmujący zasoby poza komponentem podatnym (Scope: Changed).