CVE-2023-31149

RCE poprzez błąd walidacji danych w interfejsie web SEL RTAC

CVSS 9.1v3.1pub. 2023-05-10upd. 2024-11-21

Podatność typu Improper Input Validation w interfejsie webowym sterownika SEL RTAC (Real-Time Automation Controller) firmy Schweitzer Engineering Laboratories umożliwia zdalnemu, uwierzytelnionemu atakującemu wykonanie dowolnego kodu na podatnym urządzeniu. Ze względu na krytyczny wynik CVSS (9.1) i zakres wpływu na systemy przemysłowe, podatność stanowi poważne zagrożenie dla infrastruktury OT/ICS.

▸ Pokaż oryginał (EN)

An Improper Input Validation vulnerability in the Schweitzer Engineering Laboratories Real-Time Automation Controller (SEL RTAC) Web Interface could allow a remote authenticated attacker to execute arbitrary code. See SEL Service Bulletin dated 2022-11-15 for more details.

🤖 Analiza AI

Jak działa

Błąd polega na niewłaściwej walidacji danych wejściowych (CWE-20) przekazywanych do interfejsu webowego sterownika SEL RTAC. Atakujący, posiadający dostęp do konta użytkownika systemu, może przesłać odpowiednio spreparowane dane wejściowe, które nie są prawidłowo weryfikowane przez aplikację. W konsekwencji możliwe jest wykonanie dowolnego kodu (RCE) w kontekście działającego systemu, potencjalnie z przejęciem kontroli nad urządzeniem.

Skutki

Uwierzytelniony zdalny atakujący może wykonać dowolny kod na urządzeniu, co w środowiskach przemysłowych może skutkować przejęciem kontroli nad sterownikiem RTAC, naruszeniem poufności i integralności danych oraz zakłóceniem lub zatrzymaniem procesów automatyki.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Szczegółowe informacje o aktualizacjach zawiera SEL Service Bulletin z dnia 2022-11-15, dostępny pod adresem selinc.com/support/security-notifications/. Do czasu wdrożenia poprawek zaleca się ograniczenie dostępu do interfejsu webowego RTAC wyłącznie do zaufanych użytkowników i sieci.

Kogo dotyczy

Urządzenia Schweitzer Engineering Laboratories (SEL): SEL-2241 RTAC Module (firmware), SEL-3350 (firmware), SEL-3505 (firmware) — szczegółowe wersje wskazane w referencjach producenta oraz w SEL Service Bulletin z dnia 2022-11-15.

Uwagi

Producent opublikował dedykowany SEL Service Bulletin datowany na 2022-11-15, opisujący szczegóły podatności. Odkrycie zostało powiązane z firmą Nozomi Networks (wskazaną w referencjach). Podatność dotyczy urządzeń klasy OT/ICS stosowanych w infrastrukturze przemysłowej i energetycznej, co podwyższa jej rzeczywiste ryzyko operacyjne.