ICS-CERT informuje o nowych podatnościach w produktach firmy Emerson

utworzone przez | sie 18, 2022 | ICS

ProduktProficy Machine Edition
CVECVE-2022-2793
Krytyczność5.9 /10
CVSSAV:P/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H
OpisProficy Machine Edition w wersji 9.00 i wcześniejszych nie ma uwierzytelniania ani autoryzacji pakietów danych po nawiązaniu połączenia dla protokołu SRTP.
  
CVECVE-2022-2792
Krytyczność6.6 /10
CVSSAV:L/AC:L/PR:L/UI:R/S:U/C:N/I:H/A:H
OpisProficy Machine Edition w wersji 9.00 i wcześniejszych przechowuje dane projektu w katalogu z niewłaściwymi listami kontroli dostępu.
  
CVECVE-2022-2791
Krytyczność5.9 /10
CVSSAV:L/AC:L/PR:L/UI:R/S:C/C:N/I:H/A:N
OpisProficy Machine Edition w wersji 9.00 i wcześniejszych ładuje dowolny plik zapisany w folderze logicznym PLC do podłączonego PLC.
  
CVECVE-2022-2790
Krytyczność5.9 /10
CVSSAV:L/AC:L/PR:L/UI:R/S:C/C:N/I:H/A:N
OpisProficy Machine Edition w wersji 9.00 i wcześniejszych nie weryfikuje prawidłowo skompilowanej logiki (pliki PDT) i danych bloków danych (pliki BLD/BLK).
  
CVECVE-2022-2788
Krytyczność9.3 /10
CVSSAV:N/AC:L/PR:N/UI:R/S:C/C:N/I:H/A:H
OpisProficy Machine Edition w wersji 9.80 i wcześniejszych jest podatny na atak ZipSlip w procedurze przesyłania: umożliwia atakującym wszczepienie złośliwego pliku .BLZ do sterownika PLC. Plik może zostać przesłany przez stację inżynierską do systemu Windows w sposób, który umożliwia wykonanie złośliwego kodu.
  
CVECVE-2022-2789
Krytyczność4.7 /10
CVSSAV:L/AC:H/PR:N/UI:R/S:U/C:N/I:H/A:N
OpisProficy Machine Edition w wersji 9.00 i wcześniejszych może wyświetlać logikę inną niż logika skompilowana.
  
AktualizacjaNIE
Linkhttps://www.cisa.gov/uscert/ics/advisories/icsa-22-228-06