PT-2022-3080 · Honeywell · Honeywell Experion Pks Safety Manager
Daniel Dos Santos
+1
·
Publicado
2022-06-22
·
Atualizado
2022-08-05
·
CVE-2022-30316
CVSS v2.0
10
Alta
| Vetor | AV:N/AC:L/Au:N/C:C/I:C/A:C |
Nome do software vulnerável e versões afetadas
Honeywell Experion PKS Safety Manager versão 5.02
Descrição
O problema está relacionado à verificação insuficiente da autenticidade dos dados, permitindo uma possível manipulação do firmware. O componente afetado é a funcionalidade de atualização do firmware. Um invasor com acesso à interface serial pode utilizar credenciais codificadas para o bootloader POLO para controlar o processo de inicialização e enviar imagens de firmware maliciosas, possibilitando a manipulação do firmware, a execução remota de código e impactos de negação de serviço. A vulnerabilidade pode ser explorada por um invasor com acesso à interface serial, seja por meio de acesso físico, uma estação de trabalho de engenharia comprometida ou um gateway serial-para-Ethernet exposto. Um fator atenuante é que é necessária uma reinicialização do Safety Manager para iniciar uma atualização de firmware, o que normalmente é feito por meio de controles físicos no dispositivo.
Recomendações
Para o Honeywell Experion PKS Safety Manager versão 5.02, considere desativar a funcionalidade de atualização de firmware até que um patch esteja disponível. Restrinja o acesso à interface serial e ao bootloader POLO para minimizar o risco de exploração. Evite usar credenciais codificadas para o bootloader POLO. Como solução temporária, considere implementar medidas de segurança adicionais para impedir o acesso não autorizado à interface serial e à estação de trabalho de engenharia. No momento, não há informações sobre uma versão mais recente que contenha uma correção para o
Insufficient Verification of Data Authenticity
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Honeywell Experion Pks Safety Manager