CVE-2022-24116

Niewystarczająca siła szyfrowania w produktach GE Renewable Energy iNET/iNET II

CVSS 9.8v3.1pub. 2022-12-26upd. 2025-04-12

Produkty General Electric Renewable Energy z serii iNET oraz iNET II stosują zbyt słabe szyfrowanie, co stanowi krytyczne zagrożenie dla bezpieczeństwa komunikacji. Podatność umożliwia atakującemu zdalnie i bez uwierzytelnienia naruszenie poufności, integralności oraz dostępności systemu.

▸ Pokaż oryginał (EN)

Certain General Electric Renewable Energy products have inadequate encryption strength. This affects iNET and iNET II before 8.3.0.

🤖 Analiza AI

Jak działa

Podatność (CWE-326 — niewystarczająca siła szyfrowania oraz CWE-325 — brakujące kroki kryptograficzne) wynika z zastosowania w urządzeniach słabych lub nieadekwatnych mechanizmów kryptograficznych. Atakujący może wykorzystać słabość zastosowanego szyfrowania do przechwycenia lub manipulacji przesyłanych danych, omijając w ten sposób zabezpieczenia komunikacji sieciowej. Ze względu na wektor sieciowy (AV:N) oraz brak wymagań co do uwierzytelnienia (PR:N) i interakcji użytkownika (UI:N), atak może być przeprowadzony zdalnie przez sieć.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do poufnych danych, zmodyfikować przesyłane informacje oraz potencjalnie doprowadzić do zakłócenia działania urządzenia, co w środowisku przemysłowym (OT/ICS) może mieć poważne konsekwencje operacyjne.

Mitygacja

Należy zaktualizować oprogramowanie firmware urządzeń GE iNET oraz iNET II do wersji 8.3.0 lub nowszej. Szczegółowe informacje dotyczące aktualizacji dostępne są w poradniku CISA ICS Advisory ICSA-22-090-06.

Kogo dotyczy

General Electric iNET oraz iNET II w wersjach wcześniejszych niż 8.3.0 (firmware urządzeń GE iNET 900, GE iNET II 900, GE SD1).

Uwagi

Podatność dotyczy infrastruktury przemysłowej (ICS/OT) z sektora energii odnawialnej. Poradnik bezpieczeństwa został opublikowany przez CISA w ramach serii ICS Advisories (ICSA-22-090-06).