CVE-2022-2788

Proficy Machine Edition versões 9.80 e anteriores

O problema está relacionado a uma vulnerabilidade de traversal de caminho, também conhecida como ataque ZipSlip, que permite que invasores implantem um arquivo .BLZ malicioso no PLC por meio de um procedimento de upload. Isso pode levar à execução de código malicioso quando o arquivo é transferido da estação de engenharia para o Windows. A vulnerabilidade se deve à restrição incorreta de um nome de caminho a um diretório com acesso limitado, permitindo que um invasor remoto execute código arbitrário usando um arquivo .BLZ especialmente criado.

Para as versões 9.80 e anteriores do Proficy Machine Edition, considere desativar o procedimento de upload que permite que invasores implantem arquivos .BLZ maliciosos até que uma correção esteja disponível. Restrinja o acesso à estação de engenharia para minimizar o risco de exploração. Evite usar o recurso de upload para arquivos .BLZ até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.