PT-2024-31657 · Delta Electronics · Diaenergie

CVE-2024-4548 · Publicado 2024-05-06 · Atualizado 2025-06-27

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas:

Delta Electronics DIAEnergie versões 1.10.1.8610 e anteriores

Descrição:

Existe uma vulnerabilidade quando o CEBC.exe processa uma mensagem ‘RecalculateHDMWYC’, que é dividida em 4 campos utilizando o caractere ‘~’ como separador. Um invasor remoto não autenticado pode realizar uma injeção de SQL através do quarto campo.

Recomendações:

Para as versões 1.10.1.8610 e anteriores do Delta Electronics DIAEnergie, considere desativar o processamento de mensagens ‘RecalculateHDMWYC’ no CEBC.exe até que um patch esteja disponível. Restrinja o acesso ao quarto campo da mensagem ‘RecalculateHDMWYC’ para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

SQL injection

RCE

Enumeração de Fraquezas

CWE-89

CWE-20

Identificadores relacionados

CVE-2024-4548

Produtos afetados

Diaenergie

Referências · 8

• 🔥 https://github.com/rapid7/metasploit-framework/blob/master/modules/exploits/windows/scada/diaenergie_sqli.rb · Exploit
• 🔥 https://tenable.com/security/research/tra-2024-13 · Exploit
• https://t.me/cvenotify/126897 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-4548 · Nota de Segurança
• https://twitter.com/CVEnew/status/1787510808907317679 · Publicação no Twitter
• https://twitter.com/linuxpatch/status/1787499324647043561 · Publicação no Twitter
• https://t.me/cvenotify/79235 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-4548 · Aviso do Fabricante