3S CoDeSys Gateway Server sérülékenységek

CH azonosító

Angol cím

Felfedezés dátuma

Súlyosság

Érintett rendszerek

Érintett verziók

3S CoDeSys 2.x
3S CoDeSys Gateway Server 2.x

Összefoglaló

A 3S CoDeSys Gateway Server olyan sérülékenységeit jelentették, amelyeket a támadók kihasználva bizalmas adatokat szivárogtathatnak ki, szolgáltatás megtagadást (DoS – Denial of Service) idézhetnek elő, és feltörhetik a sérülékeny rendszert.

Leírás

1. Bizonyos csomagok feldolgozásakor határhiba léphet fel, amely kihasználható memória hivatkozási hiba előidézésére speciálisan megszerkesztett csomagok 1211/TCP portra való küldésével.
2. Bizonyos bemeneti adatok nincsenek megfelelően megtisztítva, mielőtt fájlok hozzáféréséhez felhasználásra kerülnének. Ez kihasználható korlátozottan hozzáférhető fájlok teljes hozzáféréséhez könyvtár bejárásos támadásokkal.
3. Bizonyos csomagok feldolgozása során halom alapú puffer túlcsordulás léphet fel speciálisan megszerkesztett csomagok 1211/TCP portra való küldésével.
4. Egy nem részletezett hibát kihasználva memória hivatkozási hibát lehet előidézni.
5. Bizonyos csomagok feldolgozása során verem alapú puffer túlcsordulás léphet fel, speciálisan megszerkesztett csomagok 1211/TCP portra való küldésével.

A 2.3.9.27 verzióban jelentett sérülékenységeket távolról ki lehet használni.

Megoldás

A gyártó kiadott egy javítócsomagot a sérülékenységek befoltozására.

További javaslatok a kockázatok csökkentésére:

1. Minimalizálja a vezérlőrendszer eszközök hálózati elérhetőségét! A kritikus eszközök ne érjék el közvetlenül az Internetet!
2. A vezérlőrendszer hálózatokat és a távolról elérhető eszközöket védje tűzfalakkal és szigetelje el őket az üzleti hálózattól!
3. Távoli hozzáférés szükségessége esetén használjon olyan biztonsági megoldásokat, mint a virtuális magánhálózat (VPN)!

Támadás típusa

Szükséges hozzáférés

Hivatkozások

SECUNIA 52253
CVE-2012-4704 - NVD CVE-2012-4704
CVE-2012-4705 - NVD CVE-2012-4705
CVE-2012-4706 - NVD CVE-2012-4706
CVE-2012-4707 - NVD CVE-2012-4707
CVE-2012-4708 - NVD CVE-2012-4708
Egyéb referencia: ics-cert.us-cert.gov