Авторизация  
Egan

В стеке EtherNet/IP для промышленных систем обнаружены DoS-уязвимости

В теме 1 сообщение

Агентство кибербезопасности и безопасности инфраструктуры США (CISA) выпустило предупреждение о множественных уязвимостях в стеке OpENer EtherNet/IP. Эксплуатация проблем позволяет вызвать состояние «отказа в обслуживании» промышленных систем, утечку данных и удаленное выполнение кода.

Проблемы были обнаружены специалистами из компании Claroty и затрагивают все коммиты и версии OpENer, выпущенные до 10 февраля 2021 года. В общей сложности было обнаружено пять уязвимостей.

«Для эксплуатации уязвимостей злоумышленнику достаточно отправить на устройство специально созданные пакеты ENIP/CIP», — пояснили эксперты.

Первая уязвимость ( CVE-2020-13556 ) записи за пределами поля в сервере Ethernet/IP может быть проэксплуатирована путем отправки серии специально созданных сетевых запросов для удаленного выполнения кода. Проблема получила оценку в 9,8 балла из максимальных 10 по шкале CVSS.

Другая уязвимость ( CVE-2021-27478 ) связана с обработкой запросов Common Industrial Protocol (CIP) и позволяет осуществлять DoS-атаки. Еще одна ( CVE-2021-27482 ) проблема представляет собой уязвимость чтения за пределами допустимого диапазона. С помощью специально созданных пакеты можно читать произвольные данные из памяти. Остальные две уязвимости ( CVE-2021-27500 и CVE-2021-27498 ) также могут быть проэксплуатированы путем отправки специально созданных пакетов для проведения DoS-атак.

Поставщикам, использующим стек OpENer, рекомендуется выполнить обновление до последней версии, а также принять защитные меры, чтобы минимизировать уязвимость сети.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Для публикации сообщений создайте учётную запись или авторизуйтесь

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!

Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.

Войти
Авторизация