CVE-2012-6437
KrytyczneCVSS 9.8Streszczenie
Urządzenie nieprawidłowo autoryzuje użytkowników, co umożliwia zdalnemu użytkownikowi przesłanie nowego obrazu oprogramowania układowego do karty Ethernet, niezależnie od tego, czy jest to uszkodzony, czy prawidłowy obraz. Sukces w wykorzystaniu tej podatności może prowadzić do utraty dostępności, integralności i poufności oraz zakłócenia komunikacji z innymi podłączonymi urządzeniami.
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do poważnych problemów z dostępnością i bezpieczeństwem systemów, co może wpłynąć na ciągłość działania organizacji. Istnieje ryzyko, że złośliwe oprogramowanie może zostać wgrane, co zagraża integralności danych.
Rekomendacja
Zaleca się wdrożenie odpowiednich mechanizmów autoryzacji oraz regularne aktualizowanie oprogramowania urządzeń, aby zminimalizować ryzyko związane z tą podatnością.
Oryginalny opis (angielski, źródło NVD)
The device does not properly authenticate users and the potential exists for a remote user to upload a new firmware image to the Ethernet card, whether it is a corrupt or legitimate firmware image. Successful exploitation of this vulnerability could cause loss of availability, integrity, and confidentiality and a disruption in communications with other connected devices. Rockwell Automation EtherNet/IP products; 1756-ENBT, 1756-EWEB, 1768-ENBT, and 1768-EWEB communication modules; CompactLogix L32E and L35E controllers; 1788-ENBT FLEXLogix adapter; 1794-AENTR FLEX I/O EtherNet/IP adapter; ControlLogix 18 and earlier; CompactLogix 18 and earlier; GuardLogix 18 and earlier; SoftLogix 18 and earlier; CompactLogix controllers 19 and earlier; SoftLogix controllers 19 and earlier; ControlLogix controllers 20 and earlier; GuardLogix controllers 20 and earlier; and MicroLogix 1100 and 1400