CVE-2023-1698

WAGO: Zdalne przejęcie kontroli przez nieuprawnionego atakującego (command injection)

CVSS 9.8v3.1pub. 2023-05-15upd. 2024-11-21

Podatność w wielu produktach WAGO umożliwia nieuprawnionemu, zdalnemu atakującemu tworzenie nowych użytkowników oraz zmianę konfiguracji urządzenia. W efekcie możliwe jest wywołanie nieoczekiwanego zachowania systemu, ataku Denial of Service lub pełnego przejęcia kontroli nad urządzeniem.

▸ Pokaż oryginał (EN)

In multiple products of WAGO a vulnerability allows an unauthenticated, remote attacker to create new users and change the device configuration which can result in unintended behaviour, Denial of Service and full system compromise.

🤖 Analiza AI

Jak działa

Luka sklasyfikowana jako CWE-78 (command injection) pozwala atakującemu na wykonanie dowolnych poleceń systemowych bez konieczności uwierzytelnienia. Atakujący może zdalnie, przez sieć, wysłać odpowiednio spreparowane żądanie, które zostanie wykonane w kontekście systemu operacyjnego urządzenia. Brak wymagań co do uprawnień, interakcji użytkownika i złożoności ataku powoduje, że exploit jest wyjątkowo łatwy do przeprowadzenia.

Skutki

Atakujący może uzyskać pełną kontrolę nad urządzeniem, tworzyć nieuprawnione konta użytkowników, modyfikować konfigurację systemową oraz doprowadzić do Denial of Service lub całkowitego kompromitacji systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegóły w komunikacie CERT VDE: https://cert.vde.com/en/advisories/VDE-2023-007/. Zaleca się również ograniczenie dostępu sieciowego do urządzeń WAGO poprzez segmentację sieci i zastosowanie firewall, tak aby nie były dostępne bezpośrednio z sieci nieufanych.

Kogo dotyczy

WAGO Compact Controller 100 (wraz z firmware), WAGO Edge Controller (wraz z firmware), WAGO PFC100 (wraz z firmware) — dokładne wersje wskazane w referencjach producenta (VDE-2023-007).