CRITICAL🚩 CISA KEV⚡ EXPLOIT✓ PATCH🇬🇧 English

CVE-2023-6448

Unitronics VisiLogic — domyślne hasło administratora w sterownikach PLC i HMI

CVSS 9.8v3.1pub. 2023-12-05upd. 2026-02-26

Oprogramowanie Unitronics VisiLogic przed wersją 9.9.00, stosowane w sterownikach PLC i panelach HMI z serii Vision i Samba, zawiera domyślne hasło administracyjne. Nieuwierzytelniony atakujący z dostępem sieciowym może przejąć pełną kontrolę administracyjną nad podatnym urządzeniem.

▸ Pokaż oryginał (EN)

Unitronics VisiLogic before version 9.9.00, used in Vision and Samba PLCs and HMIs, uses a default administrative password. An unauthenticated attacker with network access can take administrative control of a vulnerable system.

🤖 Analiza AI

Jak działa

Podatność wynika z użycia zakodowanego na stałe (hardcoded) domyślnego hasła administratora w oprogramowaniu VisiLogic (CWE-798, CWE-1188). Ponieważ hasło to jest takie samo we wszystkich instalacjach i nie jest wymuszana jego zmiana, atakujący może bez żadnego uwierzytelnienia zalogować się do urządzenia przez sieć, podając znane domyślne poświadczenia. Mechanizm ochrony dostępu jest w praktyce nieaktywny, co klasyfikuje podatność jako pełny Auth Bypass.

Skutki

Atakujący uzyskuje pełną kontrolę administracyjną nad urządzeniem — może modyfikować logikę sterowania PLC, zmieniać parametry procesów przemysłowych, wyłączać urządzenia lub instalować złośliwe konfiguracje, co stanowi poważne zagrożenie dla ciągłości działania infrastruktury przemysłowej (OT/ICS).

Mitygacja

Należy zaktualizować oprogramowanie VisiLogic do wersji 9.9.00 lub nowszej. Dodatkowo należy niezwłocznie zmienić domyślne hasło administratora na silne i unikalne. Zalecane jest również ograniczenie dostępu sieciowego do urządzeń Unitronics poprzez segmentację sieci OT oraz stosowanie VPN dla zdalnego dostępu. Szczegółowe wskazówki zawiera poradnik bezpieczeństwa producenta oraz alert CISA.

Kogo dotyczy

Unitronics VisiLogic przed wersją 9.9.00 stosowany w sterownikach PLC i panelach HMI z serii Vision (w tym Vision1210, Vision1040, Vision700) oraz Samba

Uwagi

CISA opublikowała alert (28.11.2023) dotyczący aktywnego wykorzystania tej podatności w atakach na systemy wodociągowe i kanalizacyjne (Water and Wastewater Systems). Podatność jest aktywnie eksploitowana w środowiskach infrastruktury krytycznej.

CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Unitronics Samba 3.5
HW
Unitronics
wszystkie wersje
Unitronics Samba 3.5 Firmware
OS
Unitronics
< 12.38
Unitronics Samba 4.3
HW
Unitronics
wszystkie wersje
Unitronics Samba 4.3 Firmware
OS
Unitronics
< 12.38
Unitronics Samba 7
HW
Unitronics
wszystkie wersje
Unitronics Samba 7 Firmware
OS
Unitronics
< 12.38
Unitronics Visilogic
APP
Unitronics
< 9.9.00
Unitronics Vision1040
HW
Unitronics
wszystkie wersje
Unitronics Vision1040 Firmware
OS
Unitronics
< 12.38
Unitronics Vision120
HW
Unitronics
wszystkie wersje
Unitronics Vision120 Firmware
OS
Unitronics
< 12.38
Unitronics Vision1210
HW
Unitronics
wszystkie wersje
Unitronics Vision1210 Firmware
OS
Unitronics
< 12.38
Unitronics Vision130
HW
Unitronics
wszystkie wersje
Unitronics Vision130 Firmware
OS
Unitronics
< 12.38
Unitronics Vision230
HW
Unitronics
wszystkie wersje
Unitronics Vision230 Firmware
OS
Unitronics
< 12.38
Unitronics Vision280
HW
Unitronics
wszystkie wersje
Unitronics Vision280 Firmware
OS
Unitronics
< 12.38
Unitronics Vision290
HW
Unitronics
wszystkie wersje
Unitronics Vision290 Firmware
OS
Unitronics
< 12.38
Unitronics Vision350
HW
Unitronics
wszystkie wersje
Unitronics Vision350 Firmware
OS
Unitronics
< 12.38
Unitronics Vision430
HW
Unitronics
wszystkie wersje
Unitronics Vision430 Firmware
OS
Unitronics
< 12.38
Unitronics Vision530
HW
Unitronics
wszystkie wersje
Unitronics Vision530 Firmware
OS
Unitronics
< 12.38
Unitronics Vision560
HW
Unitronics
wszystkie wersje
Unitronics Vision560 Firmware
OS
Unitronics
< 12.38
Unitronics Vision570
HW
Unitronics
wszystkie wersje

CISA KEV — szczegółyi

Dostawcai: Unitronics
Produkti: Vision PLC and HMI
Data dodania do KEVi: 11 grudnia 2023
Termin remediation (USA)i: 18 grudnia 2023(po terminie)

🇺🇸CISA KEV (oryginał)↗

Wymagana akcja (CISA)i

Zastosuj mitygacje zgodnie z instrukcjami producenta lub zaprzestań używania produktu, jeśli mitygacje są niedostępne.

tłumaczenie AI

▸ Pokaż oryginał (EN)

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

Opis CISAi

Kontrolery PLC i interfejsy HMI serii Unitronics Vision są dostarczane z niezabezpieczonym domyślnym hasłem, które w przypadku braku zmiany może umożliwić atakującym wykonanie zdalnych poleceń.

tłumaczenie AI

▸ Pokaż oryginał (EN)

Unitronics Vision Series PLCs and HMIs ship with an insecure default password, which if left unchanged, can allow attackers to execute remote commands.

🔴