CVE-2022-2474

Brak uwierzytelniania w usłudze Ethernet Q Commands kontrolera Haas CNC

CVSS 9.8v3.1pub. 2022-10-28upd. 2024-11-21

Haas Controller w wersji 100.20.000.1110 nie wymaga uwierzytelniania dla usługi 'Ethernet Q Commands', co pozwala dowolnemu użytkownikowi w tej samej sieci na nieautoryzowany dostęp. Podatność jest krytyczna, ponieważ umożliwia zapisywanie nieautoryzowanych makr bezpośrednio na urządzeniu sterującym maszyną CNC.

▸ Pokaż oryginał (EN)

Authentication is currently unsupported in Haas Controller version 100.20.000.1110 when using the “Ethernet Q Commands” service, which allows any user on the same network segment as the controller (even while connected remotely) to access the service and write unauthorized macros to the device.

🤖 Analiza AI

Jak działa

Usługa 'Ethernet Q Commands' w kontrolerze Haas nie implementuje żadnego mechanizmu uwierzytelniania (CWE-306 — brak uwierzytelniania dla funkcji krytycznych). Każdy użytkownik znajdujący się w tym samym segmencie sieci — w tym połączony zdalnie — może nawiązać połączenie z usługą bez podawania jakichkolwiek poświadczeń. Po uzyskaniu dostępu atakujący może zapisywać własne makra na kontrolerze, potencjalnie zmieniając zachowanie maszyny CNC.

Skutki

Atakujący bez żadnych uprawnień może zapisywać nieautoryzowane makra na kontrolerze CNC, co może prowadzić do nieautoryzowanej modyfikacji procesów produkcyjnych, uszkodzenia maszyny lub zagrożenia bezpieczeństwa fizycznego operatorów. Pełen wpływ obejmuje naruszenie poufności, integralności i dostępności systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (poradnik CISA ICS-CERT: ICSA-22-298-01). Dodatkowo zaleca się izolację sieciową kontrolerów CNC, segmentację sieci przemysłowej (OT) od sieci korporacyjnej oraz ograniczenie dostępu do usługi 'Ethernet Q Commands' wyłącznie do zaufanych hostów za pomocą firewalla lub list ACL.