CVE-2024-8937

Nome do software vulnerável e versões afetadas:

Versões do processador Schneider Electric Modicon M340 BMXP34 (versões afetadas não especificadas)

Versões do Schneider Electric Modicon MC80 BMKC80 (versões afetadas não especificadas)

Versões do processador Schneider Electric Modicon Momentum Unity M1E 171CBU (versões afetadas não especificadas)

Descrição:

O problema está relacionado a uma restrição inadequada das operações dentro dos limites de um buffer de memória, o que poderia levar à execução de código arbitrário após um ataque Man-In-The-Middle bem-sucedido. Esse ataque envolve o envio de uma chamada de função Modbus manipulada para adulterar a área de memória envolvida no processo de autenticação.

Recomendações:

Para o Schneider Electric Modicon M340 CPU BMXP34, considere desativar a chamada de função Modbus até que um patch esteja disponível.

Para o Schneider Electric Modicon MC80 BMKC80, restrinja o acesso à área de memória envolvida no processo de autenticação para minimizar o risco de exploração.

Para o processador Schneider Electric Modicon Momentum Unity M1E 171CBU, evite usar a chamada de função Modbus criada especificamente no endpoint da API afetado até que o problema seja resolvido.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.