CVE-2022-2104

Podatność wynika z błędnej konfiguracji uprawnień (CWE-269) — konto www-data, które obsługuje serwer Apache, zostało skonfigurowane tak, że może wykonywać polecenia systemowe jako root za pomocą sudo bez podania hasła. Atakujący, który uzyska dostęp do tego konta (np. przez inną podatność webową), może natychmiast eskalować uprawnienia do poziomu root, wywołując powłokę /bin/sh lub /bin/bash. Zakres dostępnych poleceń objętych tą konfiguracją jest szeroki, co znacząco zwiększa powierzchnię ataku.

Atakujący z dostępem do konta www-data może uzyskać pełną kontrolę nad urządzeniem (privilege escalation do root), co w środowisku przemysłowym może prowadzić do manipulacji konfiguracją przekaźnika ochronnego, zakłócenia działania infrastruktury krytycznej, a także do naruszenia poufności, integralności i dostępności systemu.

Należy zastosować patche dostępne u producenta zgodnie z referencjami (CISA ICS Advisory ICSA-22-174-03). Dodatkowo zaleca się ograniczenie konfiguracji sudo dla konta www-data wyłącznie do niezbędnych poleceń oraz odizolowanie urządzeń SEPCOS od sieci korporacyjnych i internetu zgodnie z zasadami bezpieczeństwa ICS.

Secheron SEPCOS Control and Protection Relay Firmware — wersje wskazane w referencjach producenta (CISA ICS Advisory ICSA-22-174-03)

Podatność dotyczy infrastruktury krytycznej (przemysłowe przekaźniki ochronne i sterujące). Doradztwo bezpieczeństwa zostało opublikowane przez CISA w ramach ICS Advisory ICSA-22-174-03 w dniu 2022-06-23.