CVE-2022-2634

Brak kontroli dostępu w Digi Connectport X2D umożliwia RCE przez upload plików Python

CVSS 10.0v3.1pub. 2022-08-10upd. 2024-11-21

Podatność w oprogramowaniu Digi Connectport X2D pozwala nieuwierzytelnionemu atakującemu na przesłanie i wykonanie złośliwych plików Python za pośrednictwem aplikacji webowej. Otrzymała maksymalny wynik CVSS 10.0, co czyni ją krytycznym zagrożeniem dla środowisk przemysłowych.

▸ Pokaż oryginał (EN)

An attacker may be able to execute malicious actions due to the lack of device access protections and device permissions when using the web application. This could lead to uploading python files which can be later executed.

🤖 Analiza AI

Jak działa

Aplikacja webowa urządzenia Digi Connectport X2D nie implementuje odpowiednich mechanizmów kontroli dostępu ani uprawnień do zasobów urządzenia. Atakujący, bez konieczności uwierzytelniania, może przesłać złośliwe pliki Python na urządzenie. Przesłane pliki mogą zostać następnie uruchomione, co prowadzi do wykonania dowolnego kodu na urządzeniu.

Skutki

Atakujący może wykonać dowolny kod na podatnym urządzeniu, uzyskując pełną kontrolę nad jego działaniem, co w kontekście urządzeń przemysłowych może zagrozić dostępności, integralności oraz poufności danych i procesów.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegółowe zalecenia zawarte w poradniku CISA ICS Advisory ICSA-22-216-01 (https://www.cisa.gov/uscert/ics/advisories/icsa-22-216-01). Do czasu wdrożenia patcha zaleca się ograniczenie dostępu sieciowego do interfejsu webowego urządzenia.

Kogo dotyczy

Digi Connectport X2D oraz jego oprogramowanie układowe (Firmware) — szczegółowe wersje wskazane w referencjach producenta (ICS Advisory ICSA-22-216-01)

Uwagi

Podatność dotyczy urządzeń klasy IIoT/przemysłowych (Digi Connectport X2D), co zwiększa potencjalny wpływ na infrastrukturę OT. Informacja o podatności została opublikowana przez CISA w ramach ICS Advisory ICSA-22-216-01.