CVE-2023-4804

W oprogramowaniu firmware urządzeń Quantum HD Unity pozostawiono aktywne funkcje debug, które nie powinny być dostępne w środowisku produkcyjnym (CWE-489: Active Debug Code). Nieautoryzowany użytkownik może uzyskać dostęp do tych funkcji bez jakiejkolwiek autoryzacji przez sieć, bez interakcji użytkownika i bez żadnych dodatkowych wymagań. Zakres podatności wykracza poza sam komponent, co oznacza możliwość wpływu na powiązane zasoby systemowe.

Atakujący może uzyskać pełną kontrolę nad podatnym urządzeniem, w tym dostęp do poufnych danych, możliwość modyfikacji konfiguracji oraz zakłócenie dostępności systemu przemysłowego. Konsekwencje obejmują pełne naruszenie poufności, integralności i dostępności systemu.

Należy zastosować patche dostępne u producenta zgodnie z referencjami — aktualizacja firmware dostępna jest poprzez Johnson Controls Security Advisories (https://www.johnsoncontrols.com/cyber-solutions/security-advisories) oraz poradnik CISA ICSA-23-313-01. Do czasu wdrożenia patcha zaleca się izolację urządzeń od sieci niezaufanych oraz ograniczenie dostępu sieciowego wyłącznie do autoryzowanych hostów.

Produkty Johnson Controls Quantum HD Unity Compressor (firmware) oraz Quantum HD Unity Acuair (firmware) — dokładne wersje wskazane w referencjach producenta i poradniku CISA ICS-CERT (ICSA-23-313-01).

Podatność dotyczy systemów przemysłowych ICS (sprężarki i systemy klimatyzacji precyzyjnej), co zwiększa ryzyko fizycznych skutków ataku w środowiskach krytycznej infrastruktury. Poradnik opublikowany przez CISA w ramach serii ICS-CERT (ICSA-23-313-01) w dniu 10 listopada 2023 r.