CVE-2024-27767

Podatność wynika z nieprawidłowej implementacji mechanizmu uwierzytelnienia (CWE-287: Improper Authentication). Atakujący zdalny, bez posiadania jakichkolwiek danych uwierzytelniających, może obejść procedury weryfikacji tożsamości w aplikacji. Ze względu na wektor sieciowy (AV:N) i brak wymaganych uprawnień (PR:N), exploitacja jest możliwa bezpośrednio przez sieć bez konieczności wcześniejszego dostępu do systemu.

Udana exploitacja pozwala atakującemu uzyskać nieautoryzowany dostęp do systemu z potencjalnie pełną kontrolą nad poufnością, integralnością i dostępnością danych oraz funkcji aplikacji, co odpowiada maksymalnemu wpływowi wskazanemu przez CVSS (C:H/I:H/A:H) z rozszerzonym zakresem oddziaływania (S:C).

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Rekomenduje się również ograniczenie dostępu sieciowego do systemów Unilogic poprzez firewall oraz izolację środowisk OT/ICS od sieci publicznych do czasu wdrożenia aktualizacji.

Oprogramowanie Unitronics Unilogic — wersje wskazane w referencjach producenta

Podatność dotyczy oprogramowania Unitronics Unilogic stosowanego w środowiskach przemysłowych (ICS/OT). Szczegółowe informacje zostały opublikowane przez izraelski organ rządowy (gov.il). Ze względu na krytyczną ocenę CVSS 10.0 i zastosowanie w infrastrukturze przemysłowej, zaleca się pilne działania nawet przy braku potwierdzonych przypadków exploitacji.