W oprogramowaniu AutomationDirect Productivity Suite w wersji v4.4.1.19 wykryto podatność polegającą na powiązaniu usługi z nieograniczonym adresem IP, co umożliwia nieuwierzytelnionemu atakującemu zdalny dostęp do symulatora PLC (ProductivityService). Podatność jest krytyczna, ponieważ nie wymaga żadnego uwierzytelnienia ani interakcji użytkownika, a jej eksploatacja pozwala na odczyt, zapis i usuwanie dowolnych plików na zaatakowanej maszynie.
▸ Pokaż oryginał (EN)
A binding to an unrestricted IP address vulnerability was discovered in Productivity Suite software version v4.4.1.19. The vulnerability allows an unauthenticated remote attacker to interact with the ProductivityService PLC simulator and read, write, or delete arbitrary files and folders on the target machine
Usługa ProductivityService symulatora PLC nasłuchuje na nieograniczonym adresie IP (np. 0.0.0.0), co oznacza, że jest dostępna na wszystkich interfejsach sieciowych maszyny, w tym potencjalnie z sieci zewnętrznych. Brak mechanizmów uwierzytelnienia lub ograniczenia dostępu sprawia, że każdy zdalny atakujący z dostępem sieciowym do portu usługi może z nią bezpośrednio komunikować się. Atakujący może następnie wykorzystać tę komunikację do odczytu, modyfikacji lub usuwania dowolnych plików i folderów w systemie plików maszyny docelowej.
Nieuwierzytelniony atakujący zdalnie może odczytywać, zapisywać lub usuwać dowolne pliki i foldery na maszynie docelowej, co może prowadzić do kradzieży danych, sabotażu konfiguracji systemów przemysłowych (OT/ICS) lub całkowitego zniszczenia danych na hoście.
Należy zastosować patche dostępne u producenta zgodnie z referencjami. Aktualizacja oprogramowania dostępna jest pod adresem: https://www.automationdirect.com/support/software-downloads. Dodatkowo zaleca się zapoznanie z dokumentem dotyczącym zabezpieczeń producenta: https://support.automationdirect.com/docs/securityconsiderations.pdf. Do czasu wdrożenia patcha rekomenduje się izolację maszyn z zainstalowanym oprogramowaniem za pomocą firewalla oraz ograniczenie dostępu sieciowego do portów usługi ProductivityService wyłącznie do zaufanych hostów.
AutomationDirect Productivity Suite w wersji v4.4.1.19
Podatność dotyczy środowisk przemysłowych (OT/ICS) — symulator PLC w Productivity Suite. Poradnik bezpieczeństwa opublikowany przez CISA jako ICS Advisory ICSA-25-296-01 w dniu 2025-10-23.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X