CVE-2024-37023

Podatność (CWE-77 — Improper Neutralization of Special Elements used in a Command) polega na braku odpowiedniej walidacji danych wejściowych w wielu parametrach różnych endpointów interfejsu urządzenia. Uwierzytelniony atakujący może przesłać spreparowane żądania zawierające złośliwe polecenia systemowe, które są następnie wykonywane bezpośrednio przez system operacyjny urządzenia. Podatność dotyczy oprogramowania w wersji 3.3.23.6.9 i wcześniejszych.

Atakujący posiadający dostęp do konta (nawet o ograniczonych uprawnieniach) może wykonać dowolne polecenia na poziomie systemu operacyjnego urządzenia, co może prowadzić do pełnego przejęcia kontroli nad urządzeniem, naruszenia poufności i integralności danych oraz zakłócenia jego dostępności. Ze względu na przemysłowy charakter urządzeń, skutki mogą obejmować także systemy i sieci OT/ICS podłączone za pośrednictwem tych urządzeń.

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się ograniczenie dostępu do interfejsu zarządzania urządzeń wyłącznie do zaufanych adresów IP, segmentację sieci OT/ICS oraz monitorowanie nieautoryzowanych prób logowania. Szczegółowe zalecenia zawiera poradnik ICS-CERT: ICSA-24-214-08.

Vonets VAR1200-H, VAR1200-L oraz VAR600-H (firmware) — oprogramowanie w wersji 3.3.23.6.9 i wcześniejszych

Podatność opisana w poradniku ICS-CERT (ICSA-24-214-08) opublikowanym przez CISA, co wskazuje na szczególne znaczenie dla środowisk przemysłowych (ICS/OT). Wymagane uwierzytelnienie nieznacznie ogranicza ekspozycję, jednak w środowiskach przemysłowych domyślne lub słabe hasła są powszechne, co realnie obniża tę barierę.