PT-2022-16853 · Haas · Haas Controller

Francesco Sortino + 1 · Publicado 2022-10-28 · Atualizado 2022-11-02 · CVE-2022-2475

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Haas Controller versão 100.20.000.1110

Descrição

O problema está relacionado à granularidade insuficiente do controle de acesso ao usar o serviço “Ethernet Q Commands”. Isso permite que qualquer usuário grave macros em registros fora do intervalo de acesso autorizado, possibilitando potencialmente o acesso a recursos privilegiados ou fora de contexto.

Recomendações

Para o Haas Controller versão 100.20.000.1110, considere restringir o acesso ao serviço “Ethernet Q Commands” para minimizar o risco de exploração. Como solução temporária, limite a capacidade dos usuários de gravar macros em registros fora de seu intervalo de acesso autorizado até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Enumeração de Fraquezas

CWE-1220

Identificadores relacionados

CVE-2022-2475

Produtos afetados

Haas Controller

Referências · 4

• https://osv.dev/vulnerability/CVE-2022-2475 · Aviso do Fabricante
• https://cisa.gov/uscert/ics/advisories/icsa-22-298-01 · Nota
• https://t.me/cibsecurity/52245 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-2475 · Nota de Segurança