PT-2020-12239

CVE-2020-10611

Publicado

2020-04-15

Atualizado

2020-04-22

Descrição por

CVSS 3.1

9.8

Crítica

MétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Triangle MicroWorks SCADA Data Gateway, versões 2.41.0213 a 4.0.122

Triangle MicroWorks SCADA Data Gateway, versões 3.02.0697 a 4.0.122

Descrição

A vulnerabilidade permite que invasores remotos executem código arbitrário devido à falta de validação adequada dos dados fornecidos pelo usuário, resultando em uma condição de confusão de tipos. Não é necessária autenticação para explorar essa vulnerabilidade. Isso se aplica apenas a instalações que utilizam conjuntos de dados DNP3.

Recomendações

Para as versões 2.41.0213 a 4.0.122, considere restringir o acesso aos conjuntos de dados DNP3 até que um patch esteja disponível.

Para as versões 3.02.0697 a 4.0.122, considere implementar validação adicional para os dados fornecidos pelo usuário a fim de evitar condições de confusão de tipos.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Explorabilidade

Correção

Impactos

Pesquisadores

Ali Abbasi

Niklas Breitfeld

Tobias Scharnowski

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-843: Access of Resource Using Incompatible Type (\'Type Confusion\')