CVE-2017-7905
KrytyczneStreszczenie
W urządzeniach General Electric (GE) Multilin SR 750, SR 760, SR 469, SR 489, SR 745, SR 369 oraz Multilin Universal Relay i URplus odkryto problem z słabą kryptografią haseł. Wersje oprogramowania przed określonymi wersjami są podatne na ataki słownikowe z powodu użycia ni losowego wektora inicjalizacyjnego.
Ocena ryzyka
Organizacje korzystające z tych urządzeń mogą być narażone na nieautoryzowany dostęp do systemów, co może prowadzić do poważnych konsekwencji w zakresie bezpieczeństwa i integralności danych.
Rekomendacja
Zaleca się aktualizację oprogramowania do najnowszych wersji, które eliminują problem z kryptografią haseł oraz wdrożenie dodatkowych środków zabezpieczających, takich jak monitorowanie dostępu.
Oryginalny opis (angielski, źródło NVD)
A Weak Cryptography for Passwords issue was discovered in General Electric (GE) Multilin SR 750 Feeder Protection Relay, firmware versions prior to Version 7.47; SR 760 Feeder Protection Relay, firmware versions prior to Version 7.47; SR 469 Motor Protection Relay, firmware versions prior to Version 5.23; SR 489 Generator Protection Relay, firmware versions prior to Version 4.06; SR 745 Transformer Protection Relay, firmware versions prior to Version 5.23; SR 369 Motor Protection Relay, all firmware versions; Multilin Universal Relay, firmware Version 6.0 and prior versions; and Multilin URplus (D90, C90, B95), all versions. Ciphertext versions of user passwords were created with a non-random initialization vector leaving them susceptible to dictionary attacks. Ciphertext of user passwords can be obtained from the front LCD panel of affected products and through issued Modbus commands.