CVE-2022-32513

Schneider Electric C-Bus — słabe wymagania hasła umożliwiające przejęcie urządzenia

CVSS 9.8v3.1pub. 2023-01-30upd. 2024-11-21

Podatność CWE-521 (Weak Password Requirements) w kontrolerach automatyki C-Bus firmy Schneider Electric pozwala atakującemu na zdalne przejęcie kontroli nad urządzeniem poprzez atak brute force na hasło. Krytyczny poziom CVSS 9.8 wynika z braku konieczności uwierzytelnienia i interakcji użytkownika.

▸ Pokaż oryginał (EN)

A CWE-521: Weak Password Requirements vulnerability exists that could allow an attacker to gain control of the device when the attacker brute forces the password. Affected Products: C-Bus Network Automation Controller - LSS5500NAC (Versions prior to V1.10.0), Wiser for C-Bus Automation Controller - LSS5500SHAC (Versions prior to V1.10.0), Clipsal C-Bus Network Automation Controller - 5500NAC (Versions prior to V1.10.0), Clipsal Wiser for C-Bus Automation Controller - 5500SHAC (Versions prior to V1.10.0), SpaceLogic C-Bus Network Automation Controller - 5500NAC2 (Versions prior to V1.10.0), SpaceLogic C-Bus Application Controller - 5500AC2 (Versions prior to V1.10.0)

🤖 Analiza AI

Jak działa

Urządzenia nie wymuszają stosowania silnych haseł, co sprawia, że hasła dostępowe są podatne na atak brute force realizowany przez sieć. Atakujący bez żadnych uprawnień i bez udziału użytkownika może wielokrotnie próbować odgadnąć hasło, aż do uzyskania dostępu. Po udanym odgadnięciu hasła atakujący przejmuje pełną kontrolę nad urządzeniem.

Skutki

Atakujący może uzyskać pełną kontrolę nad kontrolerem automatyki budynkowej, co zagraża poufności, integralności i dostępności sterowanej infrastruktury. Skutkiem może być nieuprawnione sterowanie instalacjami budynkowymi zarządzanymi przez te urządzenia.

Mitygacja

Należy zaktualizować firmware do wersji V1.10.0 lub nowszej zgodnie z zaleceniami producenta zawartymi w biuletynie bezpieczeństwa SEVD-2022-165-06. Do czasu wdrożenia patcha zaleca się ograniczenie dostępu sieciowego do urządzeń za pomocą firewall oraz izolację urządzeń w dedykowanym segmencie sieci.

Kogo dotyczy

C-Bus Network Automation Controller LSS5500NAC (wersje przed V1.10.0), Wiser for C-Bus Automation Controller LSS5500SHAC (wersje przed V1.10.0), Clipsal C-Bus Network Automation Controller 5500NAC (wersje przed V1.10.0), Clipsal Wiser for C-Bus Automation Controller 5500SHAC (wersje przed V1.10.0), SpaceLogic C-Bus Network Automation Controller 5500NAC2 (wersje przed V1.10.0), SpaceLogic C-Bus Application Controller 5500AC2 (wersje przed V1.10.0)