CVE-2024-4548

SQL Injection w Delta Electronics DIAEnergie via RecalculateHDMWYC

CVSS 9.8v3.1pub. 2024-05-06upd. 2025-06-27

W oprogramowaniu Delta Electronics DIAEnergie w wersji v1.10.1.8610 i wcześniejszych istnieje podatność typu SQL Injection (SQLi), umożliwiająca nieuwierzytelnionemu atakującemu zdalne wykonanie złośliwych zapytań do bazy danych. Ze względu na brak wymogu uwierzytelnienia oraz sieciowy charakter ataku podatność otrzymała ocenę CVSS 9.8 (CRITICAL).

▸ Pokaż oryginał (EN)

An SQLi vulnerability exists in Delta Electronics DIAEnergie v1.10.1.8610 and prior when CEBC.exe processes a 'RecalculateHDMWYC' message, which is split into 4 fields using the '~' character as the separator. An unauthenticated remote attacker can perform SQLi via the fourth field.

🤖 Analiza AI

Jak działa

Podatność występuje w procesie CEBC.exe, który obsługuje wiadomości typu 'RecalculateHDMWYC'. Wiadomość ta jest dzielona na cztery pola przy użyciu znaku '~' jako separatora. Czwarte pole nie jest odpowiednio walidowane, co umożliwia wstrzyknięcie złośliwego kodu SQL. Atakujący może wysłać specjalnie spreparowaną wiadomość sieciowo, bez konieczności posiadania jakichkolwiek poświadczeń, wywołując w ten sposób nieautoryzowane operacje na bazie danych.

Skutki

Nieuwierzytelniony zdalny atakujący może uzyskać nieautoryzowany dostęp do danych przechowywanych w bazie, modyfikować lub usuwać dane, a w zależności od konfiguracji środowiska potencjalnie przejąć kontrolę nad systemem z uprawnieniami serwera bazy danych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się również ograniczenie dostępu sieciowego do systemów DIAEnergie wyłącznie do zaufanych hostów oraz stosowanie firewalla w celu ograniczenia ekspozycji procesu CEBC.exe na nieuprawniony ruch sieciowy.