CVE-2023-1256

Nieprawidłowa autoryzacja w AVEVA Plant SCADA i Telemetry Server

CVSS 9.8v3.1pub. 2023-03-16upd. 2024-11-21

Wymienione wersje AVEVA Plant SCADA oraz AVEVA Telemetry Server zawierają podatność na atak wynikający z nieprawidłowej autoryzacji. Nieuwierzytelniony zdalny napastnik może odczytywać dane, powodować odmowę usługi (DoS) oraz manipulować stanami alarmów w systemach przemysłowych.

▸ Pokaż oryginał (EN)

The listed versions of AVEVA Plant SCADA and AVEVA Telemetry Server are vulnerable to an improper authorization exploit which could allow an unauthenticated user to remotely read data, cause denial of service, and tamper with alarm states.

🤖 Analiza AI

Jak działa

Podatność polega na nieprawidłowej implementacji mechanizmów autoryzacji w oprogramowaniu SCADA. Atakujący bez żadnych poświadczeń może zdalnie wysyłać żądania do systemu i uzyskać nieautoryzowany dostęp do jego funkcji. Brak właściwej weryfikacji uprawnień umożliwia odczyt danych procesowych, zakłócenie działania serwera (DoS) oraz zmianę stanów alarmów, co w środowisku przemysłowym może mieć poważne konsekwencje operacyjne.

Skutki

Atakujący może zdalnie i bez uwierzytelnienia odczytywać wrażliwe dane procesowe, wywoływać odmowę usługi oraz manipulować stanami alarmów systemów sterowania przemysłowego (ICS/SCADA), co może prowadzić do zakłócenia lub nieprawidłowego działania nadzorowanych procesów.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegółowe informacje o zalecanych wersjach i środkach zaradczych zawiera poradnik CISA ICS Advisory ICSA-23-073-04 dostępny pod adresem https://www.cisa.gov/news-events/ics-advisories/icsa-23-073-04

Kogo dotyczy

Wymienione wersje AVEVA Plant SCADA oraz AVEVA Telemetry Server — szczegółowe numery wersji wskazane w referencjach producenta (CISA ICS Advisory ICSA-23-073-04)

Uwagi

Podatność dotyczy systemów przemysłowych klasy ICS/SCADA, gdzie manipulacja alarmami lub odmowa usługi może mieć bezpośrednie konsekwencje dla bezpieczeństwa procesów przemysłowych. Poradnik został opublikowany przez CISA w ramach serii ICS Advisories.