CVE-2022-32514

Podatność Auth Bypass w sterownikach Schneider Electric C-Bus

CVSS 9.8v3.1pub. 2023-01-30upd. 2024-11-21

Krytyczna podatność typu Improper Authentication (CWE-287) w sterownikach automatyki Schneider Electric z serii C-Bus umożliwia nieuwierzytelnionemu atakującemu przejęcie kontroli nad urządzeniem poprzez interfejs webowy. Oceniona na CVSS 9.8, stanowi poważne zagrożenie dla systemów automatyki budynkowej.

▸ Pokaż oryginał (EN)

A CWE-287: Improper Authentication vulnerability exists that could allow an attacker to gain control of the device when logging into a web page. Affected Products: C-Bus Network Automation Controller - LSS5500NAC (Versions prior to V1.10.0), Wiser for C-Bus Automation Controller - LSS5500SHAC (Versions prior to V1.10.0), Clipsal C-Bus Network Automation Controller - 5500NAC (Versions prior to V1.10.0), Clipsal Wiser for C-Bus Automation Controller - 5500SHAC (Versions prior to V1.10.0), SpaceLogic C-Bus Network Automation Controller - 5500NAC2 (Versions prior to V1.10.0), SpaceLogic C-Bus Application Controller - 5500AC2 (Versions prior to V1.10.0)

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej implementacji mechanizmu uwierzytelniania w interfejsie webowym sterowników. Atakujący może zalogować się do strony webowej urządzenia bez posiadania prawidłowych danych uwierzytelniających, omijając w ten sposób zabezpieczenia dostępu. Atak jest możliwy zdalnie, bez interakcji użytkownika i bez żadnych wcześniejszych uprawnień, co sprawia że jest wyjątkowo łatwy do przeprowadzenia.

Skutki

Skuteczne wykorzystanie podatności pozwala atakującemu na przejęcie pełnej kontroli nad sterownikiem automatyki, co w środowisku budynkowym może oznaczać nieuprawnione sterowanie instalacjami elektrycznymi, oświetleniem lub innymi systemami podłączonymi do magistrali C-Bus.

Mitygacja

Należy zaktualizować oprogramowanie firmware wszystkich dotkniętych sterowników do wersji V1.10.0 lub nowszej. Szczegółowe instrukcje aktualizacji dostępne są w biuletynie bezpieczeństwa Schneider Electric SEVD-2022-165-06. Do czasu wgrania patcha zaleca się ograniczenie dostępu sieciowego do interfejsów webowych urządzeń poprzez firewall lub segmentację sieci.

Kogo dotyczy

C-Bus Network Automation Controller LSS5500NAC (wersje przed V1.10.0), Wiser for C-Bus Automation Controller LSS5500SHAC (wersje przed V1.10.0), Clipsal C-Bus Network Automation Controller 5500NAC (wersje przed V1.10.0), Clipsal Wiser for C-Bus Automation Controller 5500SHAC (wersje przed V1.10.0), SpaceLogic C-Bus Network Automation Controller 5500NAC2 (wersje przed V1.10.0), SpaceLogic C-Bus Application Controller 5500AC2 (wersje przed V1.10.0)