КиберосноваSGRC
BDU:2019-04152
Высокий
Эксплойт

BDU:2019-04152: Уязвимость реализации протокола FTP в микропрограммном обеспечении программируемых логических контроллеров серий Modicon M340, Modicon Quantum и Modicon Premium, позволяющая нарушителю получить доступ к учетным данным пользователей

CVSS v37.5
CVSS v27.8
Пересчитать в калькулятореОткрыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2019-04152

Описание

Уязвимость реализации протокола FTP в микропрограммном обеспечении программируемых логических контроллеров серий Modicon M340, Modicon Quantum и Modicon Premium связана с хранением учетных данных пользователей в открытом виде. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить доступ к учетным данным пользователей

Что делать с BDU:2019-04152

Высокая уязвимость (CVSS 7.5) должна быть устранена в приоритетном порядке. Срок по п. 38 приказа ФСТЭК № 117 — не более 7 календарных дней. Проверьте список затронутого ПО ниже и запланируйте обновление.

⚠ Для этой уязвимости существует публичный эксплойт — риск активной эксплуатации повышен. Устраните в первую очередь.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1
7.5Высокий
Пересчитать →
v2
7.8
Только просмотр
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NAV:N/AC:L/Au:N/C:C/I:N/A:N

CWE — тип уязвимости

CWE-200
CWE-200
Раскрытие информации

CWE-200 — раскрытие информации: выдача конфиденциальных данных. Ошибка возникает в приложениях, где в сообщениях об ошибках, ответах API и журналах оказываются стек вызовов, пути к файлам, учётные данные и ключи. Злоумышленник узнаёт внутреннее устройство системы и с этими сведениями подбирает пароль или ключ и расширяет доступ к закрытым данным.

Как атакуют и что делать ▾

Сценарий атаки

Сервер возвращает стек вызовов, пути к файлам, версии ПО, SQL-запросы в сообщениях об ошибках.

Последствия

Утечка внутренней архитектуры, помогает атакующему планировать дальнейшие шаги.

Рекомендации

Отключите подробные ошибки в production, используйте generic error pages, логируйте на сервере.

Тактики и техники

Несанкционированный сбор информации

Уязвимое ПО (10)

ВендорНазваниеВерсияПлатформа
Schneider ElectricBMXNOE0100-Не указана
Schneider ElectricBMXP34x-Не указана
Schneider Electric140CPU6x-Не указана
Schneider Electric140NOE771x1-Не указана
Schneider Electric140NOC78x00-Не указана
Schneider Electric140NOC77101-Не указана
Schneider ElectricTSXP57X-Не указана
Schneider ElectricBMXNOC0401-Не указана
Schneider ElectricTSXETYx103-Не указана
Schneider ElectricBMXNOE0110-Не указана

Среды функционирования (10)

ВендорНазваниеВерсияПлатформа
Schneider ElectricBMXNOE0100-Не указана
Schneider ElectricBMXP34x-Не указана
Schneider Electric140CPU6x-Не указана
Schneider Electric140NOE771x1-Не указана
Schneider Electric140NOC78x00-Не указана
Schneider Electric140NOC77101-Не указана
Schneider ElectricTSXP57X-Не указана
Schneider ElectricBMXNOC0401-Не указана
Schneider ElectricTSXETYx103-Не указана
Schneider ElectricBMXNOE0110-Не указана

Рекомендации по устранению

Компенсирующие меры приведены в бюллетене разработчика https://www.se.com/ww/en/download/document/31007131K01000/

Источники (1)

SLA ФСТЭК №117

7 дней

по базовой оценке CVSS 7.5

Уточните SLA под вашу среду

Базовый балл 7.5 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Приоритетное устранение

Высокий риск эксплуатации. Запланируйте устранение в ближайшем окне обновлений.

Информация

Обнаружена

2018-10-30

Опубликована

2019-11-19

Обновлена

2019-11-19

Эксплойт

Существует

Исправление

Информация об устранении отсутствует

Статус

Подтверждена производителем

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа КиберОснова импортирует БДУ ФСТЭК и привязывает уязвимости к вашим активам.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК MITRE: CWE-200 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК

Связанные уязвимости

 
Высокий
8.8

Уязвимость микропрограммного обеспечения программируемого логического контроллера Schneider Electric Modicon M340, Modic

 
Критический
9.8

Уязвимость микропрограммного обеспечения программируемого логического контроллера Schneider Electric Modicon M340, Modic

 
Высокий
7.5

Уязвимость микропрограммного обеспечения оборудования Modicon Controllers, связанная с наличием жестко закодированных уч

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Расчёт срока устранения: 24 ч для критических, 7 дней для высоких

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 94 000+ уязвимостямМодуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: импорт БДУ ФСТЭК, CVSS и привязка к активам в одном интерфейсе.

Калькулятор CVSS v4.0