ICS-CERT informuje o nowych podatnościach w produktach firmy Mitsubishi Electric (P23-109)

cert.pse-online.pl 1 rok temu

Produkt	Moduły MELSEC serii iQ-R/iQ-F EtherNet/IP i narzędzie konfiguracyjne EtherNet/IP: RJ71EIP91: Wszystkie wersje SW1DNN-EIPCT-BD: Wszystkie wersje FX5-ENET/IP: Wszystkie wersje SW1DNN-EIPCTFX5-BD: Wszystkie wersje
Numer CVE	CVE-2023-2060
Krytyczność	7,5/10
CVSS	AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Opis	Luka umożliwiająca obejście uwierzytelniania w funkcji FTP w module EtherNet/IP z powodu słabych wymagań dotyczących hasła może umożliwić zdalnemu nieuwierzytelnionemu atakującemu dostęp do modułu przez FTP dzięki ataku słownikowego lub wąchania hasła.

Numer CVE	CVE-2023-2061
Krytyczność	6,2/10
CVSS	AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Opis	Luka umożliwiająca obejście uwierzytelniania w funkcji FTP w module EtherNet/IP może pozwolić zdalnemu nieuwierzytelnionemu atakującemu na uzyskanie zakodowanego hasła i dostęp do modułu przez FTP.

Numer CVE	CVE-2023-2062
Krytyczność	6,2/10
CVSS	AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Opis	Narzędzie konfiguracyjne EtherNet/IP, które wyświetla niezamaskowane hasła z powodu maskowania pól z brakującymi hasłami, skutkuje luką w zabezpieczeniach umożliwiającą obejście uwierzytelniania, co może umożliwić zdalnemu nieuwierzytelnionemu atakującemu dostęp do modułu przez FTP.

Numer CVE	CVE-2023-2063
Krytyczność	6,3/10
CVSS	AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L
Opis	W funkcji FTP w module EtherNet/IP poprzez wysyłanie/pobieranie plików istnieje luka umożliwiająca ujawnienie, manipulowanie, usunięcie lub zniszczenie w związku z nieograniczonym przesyłaniem pliku niebezpiecznego typu.

Aktualizacja	TAK
Link	https://www.cisa.gov/news-events/ics-advisories/icsa-23-157-02