ICS-CERT informuje o podatnościach w Moxa i Honeywell

utworzone przez | lut 26, 2020 | ICS

ProduktMoxa:
ioLogik 2500, wersja 3.0 i wcześniejsze
IOxpress, wersja 2.3.0 i wcześniejsze
Numer CVECVE-2019-18238
Krytyczność7.5 / 10
Wektor CVSSAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
OpisPoufne informacje są przechowywane w plikach konfiguracyjnych bez szyfrowania.
Numer CVECVE-2020-7003
Krytyczność7.5 / 10
Wektor CVSSAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
OpisPoufne informacje są przesyłane zwykłym tekstem.
Linkhttps://www.us-cert.gov/ics/advisories/icsa-20-056-02
ProduktMoxa:
MB3170, wersja 4.0 i wcześniejsze
MB3270, wersja 4.0 i wcześniejsze
MB3180, wersja 2.0 i wcześniejsze
MB3280, wersja 3.0 i wcześniejsze
MB3480, wersja 3.0 i wcześniejsze
MB3660, wersja 2.2 i wcześniejsze
Numer CVECVE-2019-9099
Krytyczność9.8 / 10
Wektor CVSSAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
OpisPrzepełnienie bufora w serwerze może pozwolić zdalnemu atakującemu na wywołanie warunku odmowy usługi (DoS) lub wykonanie dowolnego kodu.
Numer CVECVE-2019-9102 
Krytyczność8.8 / 10
Wektor CVSSAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
OpisPrzewidywalny mechanizm generowania tokenów umożliwia zdalnym atakującym ominięcie mechanizmu ochrony przed cross-site request forgery (CSRF).
Numer CVECVE-2019-9095
Krytyczność7.5 / 10
Wektor CVSSAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
OpisSłaby algorytm kryptograficzny z przewidywalnymi zmiennymi może pozwolić na ujawnienie poufnych informacji.
Numer CVECVE-2019-9103
Krytyczność5.3 / 10
Wektor CVSSAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
OpisAtakujący może uzyskać dostęp do poufnych informacji za pośrednictwem wbudowanej usługi internetowej bez odpowiedniej autoryzacji.
Numer CVECVE-2019-9101
Krytyczność7.5 / 10
Wektor CVSSAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
OpisPoufne informacje są przesyłane zwykłym tekstem.
Numer CVECVE-2019-9096
Krytyczność9.8 / 10
Wektor CVSSAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
OpisSłabe wymagania dotyczące hasła mogą umożliwić atakującemu przeprowadzenie ataku brute force.
Numer CVECVE-2019-9104
Krytyczność8.2 / 10
Wektor CVSSAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
OpisPoufne informacje są przechowywane w plikach konfiguracyjnych bez szyfrowania.
Linkhttps://www.us-cert.gov/ics/advisories/icsa-20-056-01
ProduktMoxa:
PT-7528, wersja 4.0 i wcześniejsze
PT-7828, wersja 3.9 i wcześniejsze
Numer CVECVE-2020-6989
Krytyczność10 / 10
Wektor CVSSAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
OpisPrzepełnienie bufora w serwerze webowym pozwala atakującemu na spowodowanie warunku odmowy usługi (DoS) lub wykonanie dowolnego kodu.
Numer CVECVE-2020-6987
Krytyczność6.5 / 10
Wektor CVSSAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
OpisSłaby algorytm kryptograficzny może pozwolić na ujawnienie poufnych informacji.
Numer CVECVE-2020-6983
Krytyczność9.8 / 10
Wektor CVSSAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
OpisProdukty, których dotyczy problem, używają zakodowanego na stałe klucza kryptograficznego.
Numer CVECVE-2020-6995
Krytyczność9.8 / 10
Wektor CVSSAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
OpisSłabe wymagania dotyczące hasła mogą umożliwić atakującemu przeprowadzenie ataku brute force.
Numer CVECVE-2020-6993
Krytyczność5.3 / 10
Wektor CVSS AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
OpisAtakujący może uzyskać dostęp do poufnych informacji bez autoryzacji.
Linkhttps://www.us-cert.gov/ics/advisories/icsa-20-056-03
ProduktMoxa:
EDS-G516E, wersja 5.2 i wcześniejsze
EDS-510E, wersja 5.2 i wcześniejsze
Numer CVECVE-2020-7001
Krytyczność7.5 / 10
Wektor CVSSAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
OpisSłaby algorytm kryptograficzny może pozwolić na ujawnienie poufnych informacji.
Numer CVECVE-2020-6979
Krytyczność9.8 / 10
Wektor CVSSAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
OpisProdukty, których dotyczy problem, używają zakodowanego na stałe klucza kryptograficznego.
Numer CVECVE-2020-6981
Krytyczność9.8 / 10
Wektor CVSSAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
OpisAtakujący może uzyskać dostęp do systemu bez odpowiedniego uwierzytelnienia.
Numer CVECVE-2020-6989
Krytyczność6.5 / 10
Wektor CVSSAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
OpisNiektóre parametry na stronach ustawień nie zapewniają poprawnego rozmiaru bufora.
Numer CVECVE-2020-6997
Krytyczność4.5 / 10
Wektor CVSSAV:N/AC:L/PR:H/UI:R/S:U/C:H/I:N/A:N
OpisPoufne informacje są przesyłane zwykłym tekstem.
Numer CVECVE-2020-6991
Krytyczność9.8 / 10
Wektor CVSSAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
OpisSłabe wymagania dotyczące hasła mogą umożliwić atakującemu przeprowadzenie ataku brute force.
Linkhttps://www.us-cert.gov/ics/advisories/icsa-20-056-04
ProduktHoneywell WIN-PAK, wersja 4.7.2 i wcześniejsze
Numer CVECVE-2020-7005
Krytyczność8.1 / 10
Wektor CVSSAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
OpisProdukt, którego dotyczy luka, jest podatny na atak cross-site request forgery (CSRF), co może pozwolić atakującemu na zdalne wykonanie kodu.
Numer CVECVE-2020-6982
Krytyczność6.3 / 10
Wektor CVSSAV:A/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L
OpisWstrzyknięcie nagłówka może pozwolić na zdalne wykonanie kodu.
Numer CVECVE-2020-6978
Krytyczność7.2 / 10
Wektor CVSSAV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
OpisProdukt, którego dotyczy problem, jest podatny na użycie starych bibliotek jQuery.
Linkhttps://www.us-cert.gov/ics/advisories/icsa-20-056-05