PT-2022-22979 · Inductive Automation · Inductive Automation Ignition

S_N_T · Publicado 2022-07-15 · Atualizado 2022-08-03 · CVE-2022-35869

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Inductive Automation Ignition versão 8.1.15 (b2022030114)

Descrição

Esta vulnerabilidade permite que invasores remotos contornem a autenticação nas instalações afetadas. A falha está presente no pacote com.inductiveautomation.ignition.gateway.web.pages devido à falta de autenticação adequada antes do acesso às funcionalidades. Um invasor pode aproveitar isso para contornar a autenticação no sistema.

Recomendações

Para a versão 8.1.15 (b2022030114), considere restringir o acesso à funcionalidade com.inductiveautomation.ignition.gateway.web.pages até que uma correção esteja disponível.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Authentication Bypass Using an Alternate Path or Channel

Enumeração de Fraquezas

CWE-288

Identificadores relacionados

CVE-2022-35869

ZDI-22-1016

Produtos afetados

Inductive Automation Ignition

Referências · 5

• https://osv.dev/vulnerability/CVE-2022-35869 · Aviso do Fabricante
• https://zerodayinitiative.com/advisories/ZDI-22-1016 · Nota de Segurança
• https://t.me/cibsecurity/46953 · Publicação no Telegram
• https://support.inductiveautomation.com/hc/en-us/articles/7625759776653-Regarding-Pwn2Own-2022-Vulnerabilities · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-35869 · Nota de Segurança