CVE-2023-1967

Podatność wynika z błędu deserializacji (CWE-502) — usługa sieciowa przyjmuje i przetwarza dane zewnętrzne bez wystarczającej walidacji ich zawartości przed deserializacją. Atakujący może przesłać spreparowany payload do podatnego endpointu usługi, który po deserializacji może prowadzić do wykonania dowolnego kodu. Atak nie wymaga uwierzytelnienia ani interakcji ze strony użytkownika, a wektor sieciowy (AV:N, AC:L) czyni go szczególnie łatwym do przeprowadzenia zdalnie.

Atakujący może uzyskać pełną kontrolę nad systemem — możliwe jest naruszenie poufności, integralności oraz dostępności danych i usług (C:H/I:H/A:H), co w praktyce oznacza możliwość zdalnego wykonania kodu (RCE) na urządzeniu.

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegółowe zalecenia zawiera poradnik CISA ICS-CERT dostępny pod adresem https://www.cisa.gov/news-events/ics-advisories/icsa-23-115-01. Dodatkowo zaleca się ograniczenie dostępu sieciowego do usługi Data Analytics Web Service wyłącznie do zaufanych hostów oraz monitorowanie ruchu sieciowego kierowanego do podatnego endpointu.

Keysight N8844A Data Analytics Web Service — wersje wskazane w referencjach producenta (poradnik CISA ICS-CERT ICSA-23-115-01)

Podatność dotyczy środowiska przemysłowego (ICS/OT) — poradnik opublikowany przez CISA w ramach serii ICS Advisories w dniu 25 kwietnia 2023 r. (ICSA-23-115-01). Urządzenie Keysight N8844A jest systemem analityki danych stosowanym w środowiskach pomiarowych i przemysłowych.