PT-2021-23744 · Apache · Apache Plc4X

Eugene Lim · Publicado 2021-12-19 · Atualizado 2022-01-04 · CVE-2021-43083

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Apache PLC4X - Versões do PLC4C anteriores à 0.9.1

Descrição

O problema está relacionado a uma falha de subfluxo de inteiro sem sinal no transporte TCP. Para explorar essa falha, um usuário teria que se conectar ativamente a um dispositivo malicioso capaz de enviar uma resposta com conteúdo inválido. A probabilidade de exploração é considerada mínima no momento, mas isso pode mudar no futuro, especialmente com a crescente integração das redes industriais.

Recomendações

Para versões anteriores à 0.9.1, atualize para a versão 0.9.1 para corrigir o problema. Como solução temporária, considere restringir as conexões a dispositivos confiáveis para minimizar o risco de exploração.

Correção

Integer Underflow

Buffer Overflow

Enumeração de Fraquezas

CWE-191

CWE-119

Identificadores relacionados

CVE-2021-43083

Produtos afetados

Apache Plc4X

Referências · 5

• https://t.me/cvenotify/24621 · Publicação no Telegram
• https://lists.apache.org/thread/jxx6qc84z60xbbhn6vp2s5qf09psrtc7 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-43083 · Nota de Segurança
• http://openwall.com/lists/oss-security/2021/12/20/2 · Nota
• https://osv.dev/vulnerability/CVE-2021-43083 · Aviso do Fabricante