CVE-2022-30309

Command injection z uprawnieniami root w Festo Controller CECC-X-M1

CVSS 9.8v3.1pub. 2022-06-13upd. 2024-11-21

Rodzina kontrolerów Festo CECC-X-M1 zawiera krytyczną podatność command injection w endpoincie HTTP, umożliwiającą zdalne wykonanie poleceń systemowych z uprawnieniami root bez uwierzytelnienia. Podatność jest szczególnie groźna w środowiskach przemysłowych (OT/ICS), gdzie kontrolery tego typu zarządzają procesami fizycznymi.

▸ Pokaż oryginał (EN)

In Festo Controller CECC-X-M1 product family in multiple versions, the http-endpoint "cecc-x-web-viewer-request-off" POST request doesn’t check for port syntax. This can result in unauthorized execution of system commands with root privileges due to improper access control command injection.

🤖 Analiza AI

Jak działa

Endpoint HTTP POST o nazwie 'cecc-x-web-viewer-request-off' nie weryfikuje poprawności składni parametru 'port' przekazywanego w żądaniu. Brak walidacji danych wejściowych (CWE-78) w połączeniu z brakiem odpowiedniej kontroli dostępu (CWE-863) pozwala atakującemu na wstrzyknięcie dowolnych poleceń systemowych. Polecenia te są następnie wykonywane przez urządzenie z najwyższymi uprawnieniami systemowymi (root), bez konieczności posiadania jakichkolwiek poświadczeń.

Skutki

Nieuwierzytelniony, zdalny atakujący może wykonać dowolne polecenia systemu operacyjnego z uprawnieniami root, co prowadzi do pełnego przejęcia kontroli nad urządzeniem, naruszenia poufności i integralności danych oraz potencjalnego zakłócenia procesów przemysłowych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi przez CERT VDE pod adresem https://cert.vde.com/en/advisories/VDE-2022-020/. Do czasu aktualizacji zaleca się izolację urządzeń od sieci korporacyjnych i internetu oraz ograniczenie dostępu do interfejsu HTTP wyłącznie do zaufanych hostów.

Kogo dotyczy

Rodzina produktów Festo Controller CECC-X-M1 oraz CECC-X-M1-MV w wielu wersjach firmware — szczegółowe wersje wskazane w referencjach producenta (VDE-2022-020).

Uwagi

Podatność została opublikowana przez CERT VDE (VDE-2022-020). Dotyczy urządzeń klasy OT/ICS, co zwiększa potencjalny wpływ na bezpieczeństwo infrastruktury przemysłowej.