ICS-CERT informuje o podatnościach w produktach firmy Honeywell (P25-240)

cert.pse-online.pl 1 miesiąc temu

Produkt	Experion PKS: Wszystkie wersje przed R520.2 TCU 9 Hotfix 1 Experion PKS: Wszystkie wersje przed R530 TCU3 Hotfix 1
Numer CVE	CVE-2025-2520
Krytyczność	7.5/10
CVSS	AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Opis	Honeywell Experion PKS zawiera niezainicjowaną zmienną w komunikacji Epic Platform Analyzer (EPA). Atakujący może potencjalnie wykorzystać tę lukę, manipulując kanałem komunikacyjnym, co skutkuje dereferencją niezainicjowanego wskaźnika i odmową usługi.

Numer CVE	CVE-2025-2521
Krytyczność	8.6/10
CVSS	AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H
Opis	Honeywell Experion PKS zawiera lukę w zabezpieczeniach bufora pamięci w komponencie Control Data Access (CDA). Atakujący może potencjalnie wykorzystać tę lukę, prowadząc do nadczytania buforów, co z kolei może skutkować nieprawidłową walidacją indeksów względem granic buforów, a w konsekwencji zdalnym wykonaniem kodu.

Numer CVE	CVE-2025-2522
Krytyczność	6.5/10
CVSS	AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
Opis	Honeywell Experion PKS zawiera poufne informacje w podatności zasobów w komponencie Control Data Access (CDA). Atakujący może potencjalnie wykorzystać tę podatność, manipulując kanałem komunikacyjnym, co może skutkować ponownym wykorzystaniem bufora, a w konsekwencji nieprawidłowym działaniem systemu.

Numer CVE	CVE-2025-2523
Krytyczność	9.4/10
CVSS	AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:H
Opis	Honeywell Experion PKS zawiera lukę w zabezpieczeniach związaną z niedomiarem całkowitym w komponencie Control Data Access (CDA). Atakujący może potencjalnie wykorzystać tę lukę, manipulując kanałem komunikacyjnym, co może skutkować awarią podczas odejmowania, umożliwiając zdalne wykonanie kodu.

Numer CVE	CVE-2025-3946
Krytyczność	8.2/10
CVSS	AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H).
Opis	Honeywell Experion PKS zawiera lukę w zabezpieczeniach związaną z nieprawidłowym handlerem w komponencie Control Data Access (CDA). Atakujący może potencjalnie wykorzystać tę lukę, manipulując danymi wejściowymi, co może skutkować nieprawidłową obsługą pakietów i zdalnym wykonaniem kodu.

Numer CVE	CVE-2025-3947
Krytyczność	8.2/10
CVSS	AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H
Opis	Honeywell Experion PKS zawiera lukę w zabezpieczeniach związaną z niedomiarem liczb całkowitych w komponencie Control Data Access (CDA). Atakujący może potencjalnie wykorzystać tę lukę, manipulując danymi wejściowymi, co może skutkować nieprawidłowym sprawdzaniem wartości liczb całkowitych podczas odejmowania, a w konsekwencji odmową usługi.

Aktualizacja	TAK
Link	https://www.cisa.gov/news-events/ics-advisories/icsa-25-205-03