Викиновости

В контроллерах Honeywell Experion PKS и ACE обнаружены критические уязвимости

6 октября 2021 года

Агентство по кибербезопасности и безопасности инфраструктуры США (CISA) выпустило бюллетень относительно множественных уязвимостей, затрагивающих все версии контроллеров Honeywell Experion Process Knowledge System C200, C200E, C300 и ACE. Эксплуатация проблем позволяет удаленно выполнить код и вызвать состояние отказа в обслуживании (DoS).

Experion Process Knowledge System (PKS) — распределенная система управления (DCS), предназначенная для управления крупными производственными процессами, охватывающими множество секторов, от нефтехимических заводов до атомных электростанций, где важны высокая надежность и безопасность.

Как сообщили специалисты Honeywell, библиотека Control Component Library (CCL) может быть изменена злоумышленником и загружена в контроллер для выполнения вредоносного кода

Уязвимости обнаружили специалисты Рей Хенигман (Rei Henigman) и Надав Эрез (Nadav Erez) из компании Claroty:

CVE-2021-38397 (максимальные 10 баллов по шкале CVSS) — неограниченная загрузка файла опасного типа;

CVE-2021-38395 (оценка в 9,1 балла по шкале CVSS) — некорректная нейтрализация специальных элементов в выходных данных, используемых нижестоящим компонентом;

CVE-2021-38399 (оценка в 7,5 балла по шкале CVSS) — относительный обход пути.

Проблемы связаны с процедурой загрузки кода, которая необходима для программирования логики в контроллере, что позволяет злоумышленнику имитировать процесс и загружать произвольные двоичные файлы CLL.

«Затем устройство загружает исполняемые файлы без выполнения проверок или очистки, давая злоумышленнику возможность загружать исполняемые файлы и запускать неавторизованный собственный код удаленно без аутентификации», — пояснили эксперты.

Успешное использование проблем может позволить злоумышленнику получить доступ к неавторизованным файлам и каталогам, удаленно выполнить произвольный код и вызвать состояние отказа в обслуживании.

Пользователям настоятельно рекомендуется применить исправления, устраняющие данные уязвимости.

Источники

править
Эта статья содержит материалы из статьи «В контроллерах Honeywell Experion PKS и ACE обнаружены критические уязвимости», опубликованной на сайте SecurityLab.ru и распространяющейся на условиях лицензии Creative Commons Attribution 3.0 Unported (CC-BY 3.0 Unported).
 
Creative Commons
 
Эта статья загружена автоматически ботом NewsBots и ещё не проверялась редакторами Викиновостей.
Любой участник может оформить статью: добавить иллюстрации, викифицировать, заполнить шаблоны и добавить категории.
Любой редактор может снять этот шаблон после оформления и проверки.

Комментарии

Викиновости и Wikimedia Foundation не несут ответственности за любые материалы и точки зрения, находящиеся на странице и в разделе комментариев.



Источник — https://ru.wikinews.org/w/index.php?title=В_контроллерах_Honeywell_Experion_PKS_и_ACE_обнаружены_критические_уязвимости&oldid=14948710