CVE-2022-30311

Command injection w Festo Controller CECC-X-M1 — RCE z uprawnieniami root

CVSS 9.8v3.1pub. 2022-06-13upd. 2024-11-21

Rodzina sterowników Festo CECC-X-M1 zawiera podatność command injection w endpointcie HTTP, umożliwiającą zdalne wykonanie poleceń systemowych z uprawnieniami root bez uwierzytelnienia. Krytyczny poziom zagrożenia wynika z braku wymagań co do dostępu sieciowego, autoryzacji czy interakcji użytkownika.

▸ Pokaż oryginał (EN)

In Festo Controller CECC-X-M1 product family in multiple versions, the http-endpoint "cecc-x-refresh-request" POST request doesn’t check for port syntax. This can result in unauthorized execution of system commands with root privileges due to improper access control command injection.

🤖 Analiza AI

Jak działa

Endpoint HTTP o nazwie 'cecc-x-refresh-request' obsługuje żądania POST, które zawierają parametr dotyczący portu. Oprogramowanie sterownika nie weryfikuje poprawności składni tego parametru, co pozwala atakującemu na wstrzyknięcie dowolnych poleceń systemowych (command injection). Ze względu na brak właściwej kontroli dostępu (CWE-863) oraz brak sanityzacji danych wejściowych (CWE-78), wstrzyknięte polecenia są wykonywane z uprawnieniami root w systemie operacyjnym urządzenia.

Skutki

Atakujący zdalny i nieuwierzytelniony może wykonać dowolne polecenia systemowe z uprawnieniami root, co prowadzi do pełnego przejęcia kontroli nad sterownikiem, utraty poufności, integralności i dostępności systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegółowe informacje o wersjach naprawionych dostępne są w komunikacie bezpieczeństwa CERT VDE pod adresem https://cert.vde.com/en/advisories/VDE-2022-020/. Dodatkowo zaleca się ograniczenie dostępu sieciowego do interfejsu HTTP sterownika poprzez firewall i segmentację sieci przemysłowej.

Kogo dotyczy

Rodzina produktów Festo Controller CECC-X-M1 w wielu wersjach oprogramowania firmware (w tym warianty CECC-X-M1 oraz CECC-X-M1-MV); konkretne wersje wskazane w referencjach producenta (CERT VDE VDE-2022-020)