Ginny Hà
VIP Members
-
04/06/2014
-
88
-
689 bài viết
Cảnh báo lỗ hổng nghiêm trọng trong 3 phần mềm hệ thống điều khiển công nghiệp
Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) vừa đưa ra cảnh báo về các lỗ hổng trong phần mềm Hệ thống điều khiển công nghiệp (ICS) của ETIC Telecom, Nokia và Delta Industrial Automation.
Nổi bật trong số đó là bộ ba lỗ hổng ảnh hưởng đến Máy chủ truy cập từ xa (RAS) của ETIC Telecom, "cho phép kẻ tấn công lấy thông tin nhạy cảm và xâm nhập thiết bị và các máy được kết nối khác", CISA cho biết.
Các vấn đề bao gồm CVE-2022-3703 (điểm CVSS: 9,0) - lỗ hổng nghiêm trọng bắt nguồn từ việc cổng thông tin web RAS không có khả năng xác minh tính xác thực của firmware, do đó hacker có thể đưa vào một gói giả mạo đóng vai trò backdoor.
Hai lỗ hổng còn lại liên quan đến lỗi truyền tải thư mục trong API RAS (CVE-2022-41607, điểm CVSS: 8,6) và vấn đề tải tệp lên (CVE-2022-40981, điểm CVSS: 8,3), có thể bị lợi dụng để đọc các tệp tùy ý và tải lên các tệp độc hại.
Công ty an ninh mạng công nghiệp OTORIO (Israel) đã phát hiện và báo cáo về các lỗ hổng. Tất cả các phiên bản ETIC Telecom RAS 4.5.0 trở về trước đều bị ảnh hưởng. Vấn đề đã được giải quyết trong phiên bản 4.7.3.
Khuyến cáo thứ hai từ CISA liên quan đến ba lỗ hổng trong mô-đun hệ thống chung ASIK AirScale 5G của Nokia (CVE-2022-2482, CVE-2022-2483 và CVE-2022-2484), có thể mở đường cho việc thực thi mã tùy ý và ngừng chức năng khởi động an toàn. Tất cả các lỗi đều được đánh giá 8,4 trên thang điểm mức độ nghiêm trọng của CVSS.
"Việc khai thác thành công các lỗ hổng này có thể dẫn đến thực thi một nhân độc hại, chạy các chương trình độc hại tùy ý hoặc chạy các chương trình Nokia đã bị sửa đổi", CISA lưu ý.
Nokia sau đó đã đưa ra hướng dẫn khắc phục. Vấn đề ảnh hưởng đến các phiên bản ASIK 474021A.101 và ASIK 474021A.102.
Cuối cùng, cơ quan an ninh mạng cũng cảnh báo về một lỗ hổng path traversal (CVE-2022-2969, điểm CVSS: 8.1) ảnh hưởng đến các sản phẩm DIALink của Delta Industrial Automation và có thể bị lợi dụng để cài mã độc trên các thiết bị mục tiêu. Vấn đề đã được giải quyết trong phiên bản 1.5.0.0 Beta 4.
Nổi bật trong số đó là bộ ba lỗ hổng ảnh hưởng đến Máy chủ truy cập từ xa (RAS) của ETIC Telecom, "cho phép kẻ tấn công lấy thông tin nhạy cảm và xâm nhập thiết bị và các máy được kết nối khác", CISA cho biết.
Các vấn đề bao gồm CVE-2022-3703 (điểm CVSS: 9,0) - lỗ hổng nghiêm trọng bắt nguồn từ việc cổng thông tin web RAS không có khả năng xác minh tính xác thực của firmware, do đó hacker có thể đưa vào một gói giả mạo đóng vai trò backdoor.
Hai lỗ hổng còn lại liên quan đến lỗi truyền tải thư mục trong API RAS (CVE-2022-41607, điểm CVSS: 8,6) và vấn đề tải tệp lên (CVE-2022-40981, điểm CVSS: 8,3), có thể bị lợi dụng để đọc các tệp tùy ý và tải lên các tệp độc hại.
Công ty an ninh mạng công nghiệp OTORIO (Israel) đã phát hiện và báo cáo về các lỗ hổng. Tất cả các phiên bản ETIC Telecom RAS 4.5.0 trở về trước đều bị ảnh hưởng. Vấn đề đã được giải quyết trong phiên bản 4.7.3.
Khuyến cáo thứ hai từ CISA liên quan đến ba lỗ hổng trong mô-đun hệ thống chung ASIK AirScale 5G của Nokia (CVE-2022-2482, CVE-2022-2483 và CVE-2022-2484), có thể mở đường cho việc thực thi mã tùy ý và ngừng chức năng khởi động an toàn. Tất cả các lỗi đều được đánh giá 8,4 trên thang điểm mức độ nghiêm trọng của CVSS.
"Việc khai thác thành công các lỗ hổng này có thể dẫn đến thực thi một nhân độc hại, chạy các chương trình độc hại tùy ý hoặc chạy các chương trình Nokia đã bị sửa đổi", CISA lưu ý.
Nokia sau đó đã đưa ra hướng dẫn khắc phục. Vấn đề ảnh hưởng đến các phiên bản ASIK 474021A.101 và ASIK 474021A.102.
Cuối cùng, cơ quan an ninh mạng cũng cảnh báo về một lỗ hổng path traversal (CVE-2022-2969, điểm CVSS: 8.1) ảnh hưởng đến các sản phẩm DIALink của Delta Industrial Automation và có thể bị lợi dụng để cài mã độc trên các thiết bị mục tiêu. Vấn đề đã được giải quyết trong phiên bản 1.5.0.0 Beta 4.
Nguồn: The Hacker News