CVE-2023-35987

Zakodowane na stałe dane uwierzytelniające w Piigab M-Bus 900S

CVSS 9.8v3.1pub. 2023-07-06upd. 2024-11-21

Urządzenie Piigab M-Bus 900S zawiera zakodowane na stałe (hard-coded) dane uwierzytelniające wykorzystywane do autoryzacji. Jest to podatność krytyczna, ponieważ atakujący może uzyskać nieautoryzowany dostęp do urządzenia bez znajomości hasła ustawionego przez użytkownika.

▸ Pokaż oryginał (EN)

PiiGAB M-Bus contains hard-coded credentials which it uses for authentication.

🤖 Analiza AI

Jak działa

Producent wbudował w firmware urządzenia stałe dane uwierzytelniające (login i/lub hasło), które nie mogą zostać zmienione przez użytkownika lub są pomijane podczas procesu uwierzytelniania. Atakujący znający te zakodowane dane może zalogować się do urządzenia zdalnie przez sieć bez żadnej dodatkowej interakcji z użytkownikiem. Wektor ataku sieciowy (AV:N) bez wymagań co do uprawnień (PR:N) i interakcji użytkownika (UI:N) czyni tę podatność szczególnie niebezpieczną w środowiskach przemysłowych.

Skutki

Atakujący może uzyskać pełny nieautoryzowany dostęp do urządzenia, co prowadzi do naruszenia poufności, integralności i dostępności systemu. W kontekście infrastruktury przemysłowej (ICS) może to skutkować przejęciem kontroli nad procesami odczytu danych z liczników M-Bus.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się również odizolowanie urządzenia od publicznych sieci internetowych, ograniczenie dostępu sieciowego za pomocą firewall oraz monitorowanie nieautoryzowanych prób logowania. Szczegóły w komunikacie CISA ICSA-23-187-01.

Kogo dotyczy

Piigab M-Bus 900S oraz Piigab M-Bus 900S Firmware — wersje wskazane w referencjach producenta (advisory CISA ICSA-23-187-01)

Uwagi

Podatność dotyczy urządzenia klasy ICS (Industrial Control System) służącego do odczytu danych z liczników M-Bus. Advisory zostało opublikowane przez CISA jako ICSA-23-187-01 w dniu 2023-07-06.