BDU:2023-02703: Уязвимость микропрограммного обеспечения программируемого логического контроллера Schneider Electric Modicon M340, Modicon Quantum, Modicon Premium, позволяющая нарушителю получить доступ к конфиденциальным данным
Детали уязвимости BDU:2023-02703
Описание
Уязвимость микропрограммного обеспечения программируемого логического контроллера Schneider Electric Modicon M340, Modicon Quantum, Modicon Premium связана с подделкой межсайтовых запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным
Что делать с BDU:2023-02703
Высокая уязвимость (CVSS 6.8) должна быть устранена в приоритетном порядке. Рекомендуемый срок — 7 дней по приказу ФСТЭК №117. Проверьте список затронутого ПО ниже и запланируйте обновление.
Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.
Оценка критичности (CVSS)
AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:H/A:HAV:N/AC:H/Au:N/C:N/I:C/A:CCWE — тип уязвимости
CVE — международный идентификатор
Заставляет браузер жертвы отправить запрос от её имени без ведома. Приводит к несанкционированным действиям.
Как атакуют и что делать ▾
Сценарий атаки
Жертва авторизована на сайте. Атакующий подсовывает страницу с автоматической отправкой формы — браузер отправляет запрос с cookies жертвы.
Последствия
Несанкционированные действия от имени жертвы: перевод денег, смена пароля, удаление данных.
Рекомендации
Используйте CSRF-токены, проверяйте заголовок Origin/Referer, SameSite cookies.
Тактики и техники
Уязвимое ПО (10)
| Вендор | Название | Версия | Платформа |
|---|---|---|---|
| Schneider Electric | BMXNOR0200H | - | Не указана |
| Schneider Electric | BMXNOC0401 | - | Не указана |
| Schneider Electric | TSXETY4103 | - | Не указана |
| Schneider Electric | TSXETY5103 | - | Не указана |
| Schneider Electric | Modicon M340 CPU BMXP34 | - | Не указана |
| Schneider Electric | Modicon Quantum with integrated Ethernet COPRO 140CPU65 | - | Не указана |
| Schneider Electric | Modicon Premium CPUs with integrated Ethernet COPRO TSXP57* | - | Не указана |
| Schneider Electric | BMXNOE01 | - | Не указана |
| Schneider Electric | Modicon Quantum and Premium 140NOE77111 | - | Не указана |
| Schneider Electric | Modicon Quantum and Premium 140NOC78*00 | - | Не указана |
Рекомендации по устранению
Компенсирующие меры: - использование физических средств контроля для ограничения получения доступа к оборудованию; - сканирование всех методов мобильного обмена данных с сетью; - использование виртуальных частных сетей для организации удаленного доступа (VPN); - ограничение доступа к устройству из внешних сетей (Интернет); - обработка мобильных устройств перед подключением к сетям безопасности (управления) Использование рекомендаций: https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2022-011-01
SLA ФСТЭК №117
30 дней
по базовой оценке CVSS 6.8
Уточните SLA под вашу среду
Базовый балл 6.8 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.
Пересчитать CVSS с учётом средыThreat Intelligence
SSVC: Отслеживать
Низкий текущий риск. Устраните при плановом обновлении.
Вероятность эксплуатации в 30 дней (FIRST EPSS)
Информация
Обнаружена
2022-01-11
Опубликована
2023-05-22
Обновлена
2023-05-22
Эксплойт
Данные уточняются
Исправление
Уязвимость устранена
Статус
Подтверждена производителем
Управляйте уязвимостями, а не таблицами
Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.
- Уязвимости → активы → ответственные — цепочка за минуту
- SLA-таймеры и эскалация — дедлайны не горят
- PDF-отчёт для ФСТЭК — за один клик
Связанные уязвимости
Уязвимость микропрограммного обеспечения программируемого логического контроллера Schneider Electric Modicon M340 и сете
Уязвимость микропрограммного обеспечения программируемого логического контроллера Schneider Electric Modicon M340 и сете
Уязвимость микропрограммного обеспечения программируемого логического контроллера Schneider Electric Modicon M340, Modic
Уязвимость микропрограммного обеспечения программируемого логического контроллера Schneider Electric Modicon M340, связа
Уязвимость сервера Web Server микропрограммного обеспечения программируемого логического контроллера Schneider Electric
Что добавляет КиберОснова к данным БДУ ФСТЭК
CVSS v4.0 + калькулятор
Единственный бесплатный калькулятор CVSS v4.0 на русском языке
SLA по приказу №117
Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн
EPSS + CISA KEV
Оценка вероятности эксплуатации и статус активных атак
Полнотекстовый поиск
По названию, CVE, CWE, описанию — русский и английский
Связанные уязвимости
Автоматический подбор по затронутому ПО
Мобильная версия
Адаптивный интерфейс для работы с телефона и планшета
Автоматизируйте управление уязвимостями
КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.