PT-2024-14857 · B&R · B&R Automation Runtime

CVE-2023-6028 · Publicado 2024-02-05 · Atualizado 2024-02-09

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do B&R Automation Runtime <= G4.93

Descrição

Existe uma vulnerabilidade de cross-site scripting (XSS) refletido na versão SVG do System Diagnostics Manager que permite que um invasor remoto execute código JavaScript arbitrário no contexto da sessão do navegador do usuário atacado.

Recomendações

Para versões <= G4.93, considere desativar a versão SVG do System Diagnostics Manager como uma solução temporária até que um patch esteja disponível. Restrinja o acesso ao System Diagnostics Manager para minimizar o risco de exploração. Evite usar a versão SVG vulnerável nas sessões de navegador afetadas até que o problema seja resolvido.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2023-6028

Produtos afetados

B&R Automation Runtime

Referências · 5

• https://twitter.com/CVEnew/status/1754563640940798040 · Publicação no Twitter
• https://br-automation.com/fileadmin/SA23P018_SDM_Web_interface_vulnerable_to_XSS-1d75bee8.pdf · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2023-6028 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1754588616641139096 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2023-6028 · Aviso do Fabricante