CVE-2022-2302

Po tym, jak dowolny użytkownik zaloguje się do urządzenia co najmniej raz, mechanizm weryfikacji hasła przestaje działać poprawnie przy kolejnych próbach logowania. Zdalny atakujący może wówczas uzyskać pełny dostęp do urządzenia bez podawania prawidłowego hasła. Jest to klasyczny przypadek błędu w logice uwierzytelniania (CWE-287, CWE-304), gdzie brakuje kroku weryfikacji poświadczeń w określonym scenariuszu sesji.

Atakujący uzyskuje pełny, nieautoryzowany dostęp do urządzenia, co może prowadzić do naruszenia poufności, integralności i dostępności systemu, a w kontekście przemysłowym — do zakłócenia lub przejęcia kontroli nad procesami produkcyjnymi.

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://cert.vde.com/en/advisories/VDE-2022-030/). Jako działanie tymczasowe zaleca się ograniczenie dostępu sieciowego do urządzeń wyłącznie do zaufanych hostów oraz monitorowanie prób logowania.

Urządzenia z serii cabinet firmy Lenze: C520 (wraz z firmware), C550 (wraz z firmware) oraz C750 (wraz z firmware); szczegółowe wersje wskazane w referencjach producenta (CERT VDE VDE-2022-030).

Podatność dotyczy urządzeń stosowanych w środowiskach przemysłowych (OT/ICS). Brak wymogu wcześniejszego uwierzytelnienia ze strony atakującego przy jednoczesnym braku interakcji użytkownika czyni tę lukę szczególnie niebezpieczną w ekspozycjach sieciowych.