Phoenix закрыла опасные бреши в Ethernet-переключателях

Пользователям FL SWITCH серий 3xxx, 4xxx и 48xxx рекомендуется обновить прошивку до версии 1.33.

Американская ICS-CERT и аналогичная германская CERT@VDE опубликовали предупреждения о двух серьезных уязвимостях, найденных в промышленных переключателях семейства FL производства Phoenix Contact. Пользователям FL SWITCH серий 3xxx, 4xxx и 48xxx с прошивкой версий от 1.0 до 1.32 рекомендуется обновить ее до 1.33.

Обе уязвимости, обнаруженные экспертами Positive Technologies, допускают удаленный эксплойт, который к тому же не требует особых технических навыков.

Брешь CVE-2017-16743, оцененная в 9,8 балла по шкале CVSS, открывает возможность для обхода веб-аутентификации посредством особых HTTP-запросов и получения прав администратора на уязвимом устройстве.

Менее опасная CVE-2017-16741 (5,3 балла) позволяет любому пользователю с сетевым доступом считывать диагностические данные в режиме Monitor Mode.

В интервью Security Week представители Phoenix признались, что на разработку патчей ушло ровно 160 дней, и проверку работоспособности они не успели произвести. В случае с уязвимостью CVE-2017-16741 заплатка позволяет отключить режим мониторинга.

Исследователи из Positive Technologies, в свою очередь, поведали журналистам, что использование найденных уязвимостей позволяет захватить контроль над целевым переключателем и нарушить операции в ICS-сети, что грозит серьезными последствиями.

Поиск подключенных к Интернету Ethernet-переключателей Phoenix ничего не дал: такие устройства обычно используются в локальных сетях с программируемым контроллером. «Это не значит, что подобные устройства нельзя отыскать в Интернете и получить к ним доступ, — цитирует Security Week авторов неприятной находки. — Просто нам не удалось выявить такие случаи с помощью shodan.io и censys.io».

Ваш голос учтён!

нравится

не нравится

Рейтинг:

0

Всего голосов: 0

Новые материалы в Разное:

RuStore открыл доступ иностранным разработчикам   // 08 февраля

CISA опубликовало декриптор в помощь жертвам шифровальщика ESXiArgs   // 08 февраля

Google обещает блюрить непристойные и жестокие картинки поиска   // 08 февраля

Бизнес предлагает продавать алкоголь по 2FA   // 08 февраля