CVE-2023-4299

Digi RealPort Protocol — podatność na atak replay umożliwiająca ominięcie uwierzytelnienia

CVSS 9.0v3.1pub. 2023-08-31upd. 2024-11-21

Protokół Digi RealPort jest podatny na atak typu replay, który umożliwia napastnikowi ominięcie mechanizmu uwierzytelnienia. Skuteczny atak daje nieautoryzowany dostęp do urządzeń podłączonych przez serwery portów szeregowych.

▸ Pokaż oryginał (EN)

Digi RealPort Protocol is vulnerable to a replay attack that may allow an attacker to bypass authentication to access connected equipment.

🤖 Analiza AI

Jak działa

Atak polega na przechwyceniu wcześniej zarejestrowanego ruchu uwierzytelniającego w protokole Digi RealPort, a następnie jego ponownym odtworzeniu (replay) w celu podszycia się pod uprawnionego użytkownika. Protokół nie implementuje mechanizmów zapobiegających wielokrotnemu użyciu tych samych danych uwierzytelniających (np. tokenów jednorazowych, znaczników czasu czy numerów sekwencyjnych), co umożliwia napastnikowi skuteczne sfałszowanie sesji. Atak może być przeprowadzony zdalnie, bez konieczności posiadania jakichkolwiek danych logowania.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do urządzeń przemysłowych i sieciowych podłączonych do serwerów portów szeregowych Digi, co może prowadzić do pełnego przejęcia kontroli nad podłączonym sprzętem oraz naruszenia poufności, integralności i dostępności infrastruktury.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się również izolację sieciową urządzeń Digi, ograniczenie dostępu do protokołu RealPort wyłącznie do zaufanych hostów oraz monitorowanie ruchu sieciowego pod kątem anomalii. Szczegółowe wytyczne dostępne są w poradniku CISA ICSA-23-243-04 oraz w oświadczeniu producenta.

Kogo dotyczy

Digi RealPort, Digi ConnectPort TS 8/16 Firmware, Digi Passport Firmware — konkretne wersje wskazane w referencjach producenta oraz w poradniku ICS-CERT ICSA-23-243-04.

Uwagi

Podatność została ujawniona we współpracy z firmą Dragos, co wynika bezpośrednio z referencji producenta (Dragos-Disclosure-Statement). CWE-836 odnosi się do używania kryptografii bez zapewnienia integralności wiadomości.