CVE-2022-4333

Hardcoded Credentials w urządzeniach SPRECON-E CPU firmy Sprecher Automation

CVSS 9.8v3.1pub. 2023-06-01upd. 2024-11-21

W wielu wariantach CPU rodziny SPRECON-E firmy Sprecher Automation odkryto zakodowane na stałe dane uwierzytelniające (hardcoded credentials). Podatność umożliwia zdalnemu, nieuwierzytelnionemu atakującemu przejęcie pełnej kontroli nad urządzeniem.

▸ Pokaż oryginał (EN)

Hardcoded Credentials in multiple SPRECON-E CPU variants of Sprecher Automation allows an remote attacker to take over the device. These accounts should be deactivated according to Sprecher's hardening guidelines.

🤖 Analiza AI

Jak działa

Podatność (CWE-798) polega na tym, że oprogramowanie układowe (firmware) urządzeń SPRECON-E zawiera wbudowane na stałe dane logowania, które nie mogą być zmienione przez standardowego użytkownika. Atakujący posiadający wiedzę o tych poświadczeniach może uwierzytelnić się do urządzenia przez sieć bez żadnych dodatkowych uprawnień ani interakcji ze strony użytkownika. Producent wskazuje, że konta te powinny być dezaktywowane zgodnie z wytycznymi hardeningu Sprecher Automation.

Skutki

Atakujący może zdalnie przejąć pełną kontrolę nad urządzeniem, co w środowisku przemysłowym (OT/ICS) oznacza możliwość manipulowania procesami automatyki, zakłócenia ciągłości działania infrastruktury oraz naruszenia poufności i integralności danych przesyłanych przez urządzenie.

Mitygacja

Należy zastosować patche i wytyczne hardeningu dostępne u producenta zgodnie z referencjami (Advisory Sprecher Automation z grudnia 2022 r.). W pierwszej kolejności należy dezaktywować konta z zakodowanymi poświadczeniami zgodnie z wytycznymi hardeningu Sprecher Automation. Do czasu zastosowania poprawek zaleca się izolację urządzeń SPRECON-E od sieci publicznych oraz ograniczenie dostępu sieciowego wyłącznie do zaufanych hostów.

Kogo dotyczy

Wiele wariantów CPU rodziny SPRECON-E firmy Sprecher Automation, w tym: Sprecon-E-P DQ6-1 (firmware i hardware), Sprecon-E-P DL6-1 (firmware i hardware), Sprecon-E-P DS6-0 (firmware) — dokładny zakres wersji wskazano w referencjach producenta.

Uwagi

Podatność dotyczy urządzeń stosowanych w środowiskach przemysłowych (OT/ICS), co znacząco podnosi ryzyko operacyjne. Advisory producenta zostało opublikowane w grudniu 2022 r.

CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Sprecher Automation Sprecon E Ap 2200
HW
Sprecher-Automation
wszystkie wersje
Sprecher Automation Sprecon E Ap 2200 Firmware
OS
Sprecher-Automation
wszystkie wersje
Sprecher Automation Sprecon E C
HW
Sprecher-Automation
wszystkie wersje
Sprecher Automation Sprecon E C Firmware
OS
Sprecher-Automation
wszystkie wersje
Sprecher Automation Sprecon E Cp 2131
HW
Sprecher-Automation
wszystkie wersje
Sprecher Automation Sprecon E Cp 2131 Firmware
OS
Sprecher-Automation
wszystkie wersje
Sprecher Automation Sprecon E Cp 2330
HW
Sprecher-Automation
wszystkie wersje
Sprecher Automation Sprecon E Cp 2330 Firmware
OS
Sprecher-Automation
wszystkie wersje
Sprecher Automation Sprecon E P Dl6 1
HW
Sprecher-Automation
wszystkie wersje
Sprecher Automation Sprecon E P Dl6 1 Firmware
OS
Sprecher-Automation
wszystkie wersje
Sprecher Automation Sprecon E P Dq6 1
HW
Sprecher-Automation
wszystkie wersje
Sprecher Automation Sprecon E P Dq6 1 Firmware
OS
Sprecher-Automation
wszystkie wersje
Sprecher Automation Sprecon E P Ds6 0
HW
Sprecher-Automation
wszystkie wersje
Sprecher Automation Sprecon E P Ds6 0 Firmware
OS
Sprecher-Automation
wszystkie wersje
Sprecher Automation Sprecon E T3
HW
Sprecher-Automation
wszystkie wersje
Sprecher Automation Sprecon E T3 Firmware
OS
Sprecher-Automation
wszystkie wersje
Sprecher Automation Sprecon E Tc Ax 3110
HW
Sprecher-Automation
wszystkie wersje
Sprecher Automation Sprecon E Tc Ax 3110 Firmware
OS
Sprecher-Automation
wszystkie wersje