PT-2022-3480 · Schneider Electric · Ecostruxure Power Commission

CVE-2022-0223 · Publicado 2022-06-14 · Atualizado 2023-02-07

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do EcoStruxure Power Commission anteriores à V2.22

Descrição

O problema está relacionado a uma limitação inadequada de um nome de caminho para um diretório restrito, também conhecida como vulnerabilidade de “Path Traversal”. Isso poderia permitir que um invasor remoto criasse ou sobrescrevesse arquivos críticos usados para executar código, como programas ou bibliotecas, levando à execução de código não autenticado.

Recomendações

Para versões anteriores à V2.22, atualize para a versão V2.22 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso a arquivos e diretórios críticos para minimizar o risco de exploração. Evite usar funções ou módulos vulneráveis que possam ser afetados pelo problema de “Path Traversal” até que a atualização seja aplicada.

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

BDU:2022-04259

CVE-2022-0223

Produtos afetados

Ecostruxure Power Commission

Referências · 7

• https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2022-165-05_EcoStruxure_Power_Commission_Security_Notification.pdf · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-0223 · Aviso do Fabricante
• https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2022-165-05_EcoStruxure_Power_Commission_Security_Notification.pdf · Nota
• https://t.me/cvenotify/43166 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2022-04259 · Nota de Segurança
• https://t.me/cibsecurity/57176 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-0223 · Nota de Segurança