PT-2024-9677

CVE-2024-12371

Publicado

2024-12-16

Atualizado

2025-09-04

Descrição por

CVSS 4.0

9.3

Crítica

MétricasAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Rockwell Automation Power Monitor 1000 (versões afetadas não especificadas)

Descrição

Existe uma vulnerabilidade que permite o controle do dispositivo, possibilitando a configuração de um novo usuário Policyholder sem autenticação via API. O usuário Policyholder possui os maiores privilégios, permitindo operações de edição, criação de usuários administradores e redefinições de fábrica. Isso pode ser explorado enviando-se uma solicitação de API especialmente criada para criar um usuário Policyholder, potencialmente dando a um invasor acesso total ao dispositivo.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Impactos

Pesquisadores

Vera Mens

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-420: Unprotected Alternate Channel

CWE-306: Missing Authentication for Critical Function

Identificadores relacionados

CVE-2024-12371