CVE-2022-23402

Yokogawa CENTUM VP — zakodowane na stałe hasło w aplikacjach CAMS

CVSS 9.8v3.1pub. 2022-03-11upd. 2024-11-21

Produkty Yokogawa Electric zawierają hasło zakodowane na stałe (hard-coded) w aplikacjach serwera CAMS. Podatność ta umożliwia nieuwierzytelnionemu atakującemu zdalne przejęcie kontroli nad systemem bez znajomości prawidłowych poświadczeń.

▸ Pokaż oryginał (EN)

The following Yokogawa Electric products hard-code the password for CAMS server applications: CENTUM VP versions from R5.01.00 to R5.04.20 and versions from R6.01.00 to R6.08.00, Exaopc versions from R3.72.00 to R3.79.00

🤖 Analiza AI

Jak działa

Producent zakodował hasło do aplikacji serwera CAMS bezpośrednio w kodzie oprogramowania (CWE-798 — Use of Hard-coded Credentials). Oznacza to, że hasło jest identyczne we wszystkich instalacjach podatnych wersji i nie może zostać zmienione przez administratora. Atakujący znający to hasło może uwierzytelnić się do serwera CAMS przez sieć bez żadnych dodatkowych uprawnień ani interakcji ze strony użytkownika.

Skutki

Atakujący uzyskuje pełny dostęp do serwera CAMS, co w kontekście przemysłowych systemów sterowania (DCS) może prowadzić do naruszenia poufności, integralności i dostępności procesu technologicznego. Możliwe jest nieautoryzowane odczytanie, modyfikacja lub zakłócenie działania systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (biuletyn bezpieczeństwa Yokogawa YSAR-22-0001-E). Do czasu aktualizacji zaleca się izolację sieciową serwerów CAMS, ograniczenie dostępu przez firewall oraz monitorowanie nieautoryzowanych prób połączeń.

Kogo dotyczy

Yokogawa CENTUM VP w wersjach od R5.01.00 do R5.04.20 oraz od R6.01.00 do R6.08.00; Yokogawa Exaopc w wersjach od R3.72.00 do R3.79.00

Uwagi

Podatność dotyczy systemów klasy OT/ICS (przemysłowe systemy sterowania DCS). Ze względu na specyfikę środowisk przemysłowych, wdrażanie patchy może wymagać okna serwisowego i planowanego przestoju produkcyjnego. Szczegółowe informacje dostępne w biuletynie producenta YSAR-22-0001-E.

CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Yokogawa Centum Vp
HW
Yokogawa
wszystkie wersje
Yokogawa Centum Vp Entry
HW
Yokogawa
wszystkie wersje
Yokogawa Centum Vp Entry Firmware
OS
Yokogawa
r5.01.00 – r5.04.20r6.01.00 – r6.09.00 (bez)
Yokogawa Centum Vp Firmware
OS
Yokogawa
r6.01.00 – r6.09.00 (bez)r5.01.00 – r5.04.20
Yokogawa Exaopc
APP
Yokogawa
r3.72.00 – r3.80.00 (bez)