CVE-2023-3271
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 47 - wyżej niż 47% wszystkich znanych CVE
Streszczenie
Nieprawidłowa kontrola dostępu w urządzeniu SICK ICR890-4 może umożliwić nieautoryzowanemu zdalnemu atakującemu zbieranie informacji o systemie oraz pobieranie danych za pośrednictwem API REST, poprzez dostęp do nieautoryzowanych punktów końcowych.
Ocena ryzyka
Organizacja może być narażona na wyciek danych oraz nieautoryzowany dostęp do informacji systemowych, co może prowadzić do poważnych konsekwencji bezpieczeństwa.
Rekomendacja
Zaleca się wdrożenie odpowiednich mechanizmów kontroli dostępu oraz zabezpieczeń dla punktów końcowych API, aby uniemożliwić dostęp nieautoryzowanym użytkownikom.
Inne podatności w SICK ICR890-4
Zobacz wszystkie- CVE-2023-3273Wysokie
Nieprawidłowa kontrola dostępu w urządzeniu SICK ICR890-4 może pozwolić nieautoryzowanemu zdalnemu atakującemu na wpływanie na dostępność urządzenia poprzez zmianę ustawień, takich jak adres IP, z powodu brakującej kontroli dostępu.
- CVE-2023-3272Wysokie
Podatność CVE-2023-3272 dotyczy przesyłania wrażliwych informacji w postaci niezaszyfrowanej w urządzeniu SICK ICR890-4. Zdalny atakujący może przechwycić ruch sieciowy, co pozwala na uzyskanie dostępu do poufnych danych.
- CVE-2023-3270Wysokie
Podatność w SICK ICR890-4 umożliwia nieautoryzowanemu atakującemu zdalny dostęp do wrażliwych informacji o systemie.
- CVE-2023-35699Średnie
Podatność CVE-2023-35699 dotyczy przechowywania danych w postaci niezaszyfrowanej na dysku w urządzeniu SICK ICR890-4. Umożliwia to nieautoryzowanemu atakującemu z lokalnym dostępem do urządzenia ujawnienie wrażliwych informacji poprzez dostęp do karty SD.
- CVE-2023-35698Średnie
W SICK ICR890-4 występuje niezgodność w odpowiedziach, która może umożliwić zdalnemu atakującemu identyfikację prawidłowych nazw użytkowników serwera FTP na podstawie odpowiedzi uzyskanej podczas nieudanej próby logowania.
- CVE-2023-35697Średnie
Nieprawidłowe ograniczenie nadmiernych prób uwierzytelnienia w urządzeniu SICK ICR890-4 może umożliwić zdalnemu atakującemu przeprowadzenie ataku typu brute-force na dane logowania użytkowników.
- CVE-2023-35696Wysokie
Nieautoryzowane punkty końcowe w urządzeniu SICK ICR890-4 mogą umożliwić nieautoryzowanemu zdalnemu atakującemu uzyskanie wrażliwych informacji o urządzeniu za pomocą żądań HTTP.
Oryginalny opis (angielski, źródło NVD)
Improper Access Control in the SICK ICR890-4 could allow an unauthenticated remote attacker to gather information about the system and download data via the REST API by accessing unauthenticated endpoints.