Kaltetutako baliabideak:

moduWeb duen EY-modulo 5 EY-AS525F001 eraikinen automatizazio estazioak.

Azalpena:

Odyssey Cyber Security-ko Ithaca Labs-ek 5 ahultasunen berri eman du: 4 larritasun altukoak eta 1 larritasun ertainekoa. Ahultasun horiek ustiatuz gero pribilegioak eskalatu litezke, ekintzak baimenik gabe exekutatu, zerbitzuaren ukapen egoera eragin edo informazio konfidentziala berreskuratu.

Konponbidea:

SAUTER-ek gomendatzen du moduWeb desgaitzea erabiltzen ari ez denean eta beharrezkoak diren neurri guztiak hartzea eraikinen automatizazio sareen integritatea babesteko, gailuetarako sarbidea murrizteko eta arriskuak gutxitzeko egokiak diren neurri eta politikak aprobetxatzeko.

Xehetasuna:

Larritasun altuko 4 ahultasunak baliatuz, erasotzaile batek ondoko ekintzak egin litzake:

• Urrunetik eta autentifikatu gabe, asmo gaiztoko esteka bat eskaini lezake eta erabiltzaile bat engaina lezake bertan klika dezan, eta horrela erasotzaileak JavaScript-en (JS) asmo gaiztoko karga exekutatu lezake xedearen segurtasunaren testuinguruan (CVE-2023-28650).
• Pribilegioak handitu edo baimendu gabeko ekintzak egin litzake xede diren erabiltzaile pribilegiatuen testuinguruan (CVE-2023-28655).
• Autentifikatutako erabiltzaile guztiak, esate baterako erabiltzaile administratzaileak, baimendu gabeko ekintzak egitera behartu litzake erregistroak bistaratuz (CVE-2023-22300).
• Autentifikatuz gero, postaren transferentzia soileko protokoloaren (SMTP) pasahitza eskuratu lezake zifratu gabeko testu formatuan, babestuta eta izartxoz ezkutatuta egon arren (CVE-2023-27927).

Larritasun ertaineko ahultasunerako CVE-2023-28652 identifikatzailea esleitu da.