PT-2022-3929
CVE-2022-23128
·
Publicado
2022-01-20
·
Atualizado
2022-01-27
Descrição por
CVSS 3.1
10
CríticaMétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
Mitsubishi Electric MC Works64, versões 4.00A (10.95.201.23) a 4.04E (10.95.210.01)
ICONICS GENESIS64, versões 10.95.3 a 10.97
ICONICS Hyper Historian versões 10.95.3 a 10.97
ICONICS AnalytiX versões 10.95.3 a 10.97
ICONICS MobileHMI versões 10.95.3 a 10.97
Descrição
O problema está relacionado a uma lista incompleta de entradas não permitidas, permitindo que um invasor remoto não autenticado contorne a autenticação e obtenha acesso não autorizado aos produtos enviando pacotes WebSocket especialmente criados para o servidor FrameWorX. Isso pode ser feito sem a autenticação adequada, levando potencialmente a acesso não autorizado.
Recomendações
Para as versões 4.00A (10.95.201.23) a 4.04E (10.95.210.01) do Mitsubishi Electric MC Works64, atualize para uma versão fora desse intervalo para mitigar o risco.
Para as versões 10.95.3 a 10.97 do ICONICS GENESIS64, considere desativar a funcionalidade do servidor FrameWorX até que um patch esteja disponível.
Para as versões 10.95.3 a 10.97 do ICONICS Hyper Historian, restrinja o acesso ao servidor FrameWorX para minimizar o risco de exploração.
Para as versões 10.95.3 a 10.97 do ICONICS AnalytiX, evite usar o protocolo WebSocket no endpoint da API afetado até que o problema seja resolvido.
Para as versões 10.95.3 a 10.97 do ICONICS MobileHMI, como solução alternativa temporária, considere desativar a função do servidor
FrameWorX até que um patch esteja disponível.No momento, não há informações sobre uma versão mais recente que contenha uma correção para
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾