CVE-2023-0755

Nieprawidłowa walidacja indeksu tablicy w produktach GE/PTC — RCE

CVSS 9.8v3.1pub. 2023-02-23upd. 2024-11-21

Podatność krytyczna w produktach GE Digital Industrial Gateway Server oraz PTC Kepware/ThingWorx umożliwia zdalnemu atakującemu wykonanie dowolnego kodu bez uwierzytelnienia. Wynika z nieprawidłowej walidacji indeksu tablicy i może prowadzić do całkowitego przejęcia kontroli nad serwerem.

▸ Pokaż oryginał (EN)

The affected products are vulnerable to an improper validation of array index, which could allow an attacker to crash the server and remotely execute arbitrary code.

🤖 Analiza AI

Jak działa

Błąd polega na braku właściwej walidacji indeksu tablicy (CWE-129) podczas przetwarzania danych wejściowych przez podatne produkty. Atakujący może wysłać specjalnie spreparowane żądanie sieciowe, które spowoduje odwołanie się do nieprawidłowego obszaru pamięci. Skutkuje to awarią serwera (crash) lub — w wariancie bardziej zaawansowanym — zdalnym wykonaniem dowolnego kodu (RCE).

Skutki

Atakujący może zdalnie wykonać dowolny kod na dotkniętym systemie lub spowodować jego niedostępność poprzez crash serwera. Możliwe jest pełne naruszenie poufności, integralności i dostępności systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegółowe informacje o wersjach naprawiających podatność zawiera poradnik CISA ICS-CERT dostępny pod adresem https://www.cisa.gov/uscert/ics/advisories/icsa-23-054-01.

Kogo dotyczy

GE Digital Industrial Gateway Server, PTC Kepware Server, PTC Kepware ServerEX, PTC ThingWorx .NET-SDK, PTC ThingWorx Edge C-SDK — wersje wskazane w referencjach producenta (poradnik CISA ICS-CERT ICSA-23-054-01).

Uwagi

Podatność opublikowana 2023-02-23. Dotyczy środowisk przemysłowych OT/ICS — wdrożone systemy mogą mieć utrudnioną ścieżkę aktualizacji ze względu na wymagania ciągłości operacyjnej.