CVE-2022-30308

Command Injection z uprawnieniami root w Festo Controller CECC-X-M1

CVSS 9.8v3.1pub. 2022-06-13upd. 2024-11-21

Podatność typu command injection w sterownikach Festo Controller CECC-X-M1 umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie poleceń systemowych z uprawnieniami root. Krytyczna waga podatności (CVSS 9.8) oraz brak wymogu uwierzytelnienia czynią ją szczególnie niebezpieczną w środowiskach przemysłowych.

▸ Pokaż oryginał (EN)

In Festo Controller CECC-X-M1 product family in multiple versions, the http-endpoint "cecc-x-web-viewer-request-on" POST request doesn’t check for port syntax. This can result in unauthorized execution of system commands with root privileges due to improper access control command injection.

🤖 Analiza AI

Jak działa

Endpoint HTTP 'cecc-x-web-viewer-request-on' akceptujący żądania POST nie weryfikuje poprawności składni pola 'port'. Atakujący może wstrzyknąć dowolne polecenia systemowe poprzez spreparowane żądanie HTTP do tego endpointu. Ze względu na brak właściwej kontroli dostępu (CWE-863) oraz brak walidacji wejścia (CWE-78), wstrzyknięte polecenia są wykonywane z uprawnieniami root bez żadnego uwierzytelnienia.

Skutki

Atakujący uzyskuje pełną kontrolę nad urządzeniem, mogąc wykonywać dowolne polecenia systemowe z uprawnieniami root — co może prowadzić do naruszenia poufności, integralności i dostępności systemu sterowania, a w środowisku OT potencjalnie do zakłócenia procesów przemysłowych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi przez CERT VDE pod adresem https://cert.vde.com/en/advisories/VDE-2022-020/. Dodatkowo zaleca się ograniczenie dostępu sieciowego do interfejsu HTTP sterownika wyłącznie do zaufanych hostów oraz segmentację sieci OT.

Kogo dotyczy

Rodzina produktów Festo Controller CECC-X-M1 oraz CECC-X-M1-MV — wiele wersji firmware; szczegółowe wersje wskazane w referencjach producenta (CERT VDE VDE-2022-020).