PT-2022-22982

CVE-2022-35871

Publicado

2022-07-15

Atualizado

2022-08-03

Descrição por

CVSS 3.1

8.1

Alta

MétricasAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Inductive Automation Ignition versão 8.1.15 (b2022030114)

Descrição

Esta vulnerabilidade permite que invasores remotos executem código arbitrário nas instalações afetadas. Não é necessária autenticação para explorar esta vulnerabilidade. A falha específica existe no método authenticateAdSso, resultante da falta de autenticação antes de permitir a execução de código Python. Um invasor pode aproveitar esta vulnerabilidade para executar código no contexto do SYSTEM.

Recomendações

Para o Inductive Automation Ignition versão 8.1.15 (b2022030114), como solução temporária, considere desativar o método authenticateAdSso até que um patch esteja disponível. Restrinja o acesso à funcionalidade de execução de código Python para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Explorabilidade

Correção

Impactos

Pesquisadores

Daan Keuper

Thijs Alkemade

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-306: Missing Authentication for Critical Function

Identificadores relacionados

CVE-2022-35871