CVE-2025-3449
ŚrednieCVSS 4.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Podatność generowania przewidywalnych liczb lub identyfikatorów w komponencie SDM w B&R Automation Runtime przed wersją 6.4 może pozwolić nieuwierzytelnionemu atakującemu sieciowemu na przejęcie już ustanowionych sesji.
Ocena ryzyka
Ryzyko obejmuje możliwość przejęcia sesji użytkowników, co może prowadzić do nieautoryzowanego dostępu do systemów automatyki i potencjalnych zakłóceń w procesach przemysłowych.
Rekomendacja
Zaktualizuj B&R Automation Runtime do wersji 6.4 lub nowszej, która zawiera poprawkę.
Inne podatności w B&R Automation Runtime
Zobacz wszystkie- CVE-2025-11498Średnie
W System Diagnostics Manager (SDM) w B&R Automation Runtime w wersjach przed 6.4 występuje podatność polegająca na niewłaściwej neutralizacji elementów formuł w pliku CSV. Umożliwia ona zdalnemu atakującemu wstrzyknięcie danych formuły do generowanego pliku CSV. Wykorzystanie wymaga, aby atakujący utworzył złośliwy link, użytkownik kliknął w niego, a następnie ręcznie otworzył wynikowy plik CSV.
- CVE-2025-3448Średnie
W System Diagnostics Manager (SDM) w B&R Automation Runtime w wersjach przed 6.4 istnieją podatności typu reflected XSS, które umożliwiają zdalnemu atakującemu wykonanie dowolnego kodu JavaScript w kontekście sesji przeglądarki zaatakowanego użytkownika.
Oryginalny opis (angielski, źródło NVD)
A Generation of Predictable Numbers or Identifiers vulnerability in the SDM component of B&R Automation Runtime versions before 6.4 may allow an unauthenticated network-based attacker to take over already established sessions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS