CVE-2025-11779

Stack-based buffer overflow w Circutor SGE-PLC1000/SGE-PLC50 via SetLan

CVSS 9.4v4.0pub. 2025-12-02upd. 2025-12-03

Krytyczna podatność typu stack-based buffer overflow w urządzeniach Circutor SGE-PLC1000 i SGE-PLC50 w wersji 9.0.2 pozwala uwierzytelnionemu użytkownikowi sieciowemu na wykonanie niezamierzonych poleceń systemowych. Brak sanityzacji parametrów w funkcji 'SetLan' może prowadzić do command injection z potencjalnie poważnymi skutkami dla systemu i sieci.

▸ Pokaż oryginał (EN)

Stack-based buffer overflow vulnerability in CircutorSGE-PLC1000/SGE-PLC50 v9.0.2. The 'SetLan' function is invoked when a new configuration is applied. This new configuration function is activated by a management web request, which can be invoked by a user when making changes to the 'index.cgi' web application. The parameters are not being sanitised, which could lead to command injection.

🤖 Analiza AI

Jak działa

Funkcja 'SetLan' jest wywoływana podczas stosowania nowej konfiguracji sieciowej urządzenia. Konfiguracja ta jest inicjowana poprzez żądanie HTTP do aplikacji webowej 'index.cgi', dostępnej dla zalogowanego użytkownika. Przekazywane do funkcji parametry nie są odpowiednio walidowane ani sanityzowane, co umożliwia wstrzyknięcie złośliwych danych powodujących przepełnienie bufora na stosie (stack-based buffer overflow) i potencjalne wykonanie dowolnych poleceń.

Skutki

Atakujący z dostępem do sieci lokalnej i posiadający podstawowe uprawnienia użytkownika może przejąć kontrolę nad urządzeniem, wykonując dowolne polecenia systemowe (command injection), co może skutkować pełnym przejęciem urządzenia oraz naruszeniem integralności, poufności i dostępności zarówno samego urządzenia, jak i systemów z nim połączonych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://www.incibe.es/en/incibe-cert/notices/aviso-sci/multiple-vulnerabilities-circutor-products-0). Do czasu wdrożenia poprawki zaleca się ograniczenie dostępu do interfejsu webowego urządzenia wyłącznie do zaufanych hostów oraz izolację urządzeń w dedykowanym segmencie sieci przemysłowej.

Kogo dotyczy

Urządzenia Circutor SGE-PLC1000 i SGE-PLC50 z oprogramowaniem układowym w wersji 9.0.2.

Uwagi

Podatność dotyczy infrastruktury przemysłowej (ICS/OT). Wektor ataku sieciowego ograniczony jest do sieci lokalnej (AV:A), co nieco zmniejsza ryzyko zdalnego wykorzystania, jednak w środowiskach przemysłowych urządzenia tego typu są często słabo izolowane.

CVSS Vector

CVSS:4.0/AV:A/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X