БДУ - Уязвимости

BDU:2023-04961: Уязвимость веб-сервера программируемого логического контроллера ioLogik, связанная с использованием cookie для хранения конфиденциальной информации без флага HttpOnly, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации

Описание уязвимости	Уязвимость веб-сервера программируемого логического контроллера ioLogik связана с использованием cookie для хранения конфиденциальной информации без флага HttpOnly. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации
Вендор	Moxa Inc.
Наименование ПО	ioLogik E4200
Версия ПО	до 1.6 включительно
Тип ПО	ПО программно-аппаратного средства
Операционные системы и аппаратные платформы	Данные уточняются
Тип ошибки	Конфиденциальный файл cookie без флага «HttpOnly»
Идентификатор типа ошибки	CWE-1004
Класс уязвимости	Уязвимость кода
Дата выявления	24.08.2023
Базовый вектор уязвимости	CVSS 2.0: AV:N/AC:H/Au:N/C:P/I:N/A:N CVSS 3.0: AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N
Уровень опасности уязвимости	Низкий уровень опасности (базовая оценка CVSS 2.0 составляет 2,6) Низкий уровень опасности (базовая оценка CVSS 3.0 составляет 3,1)
Возможные меры по устранению уязвимости	Использование рекомендаций: https://www.moxa.com/en/support/product-support/security-advisory/mpsa-230310-iologik-4000-series-multiple-web-server-vulnerabilities-and-improper-access-control-vulnerability Компенсирующие меры: - ограничение подключения к программному продукту из сетей общего пользования (Интернет); - сегментирование сети с целью ограничения доступа к промышленному сегменту из других подсетей; - применение средств межсетевого экранирования уровня веб-приложений.
Статус уязвимости	Подтверждена производителем
Наличие эксплойта	Данные уточняются
Способ эксплуатации	Несанкционированный сбор информации
Способ устранения	Обновление программного обеспечения
Информация об устранении	Уязвимость устранена
Ссылки на источники	https://www.moxa.com/en/support/product-support/security-advisory/mpsa-230310-iologik-4000-series-multiple-web-server-vulnerabilities-and-improper-access-control-vulnerability https://vuldb.com/ru/?id.237903
Идентификаторы других систем описаний уязвимостей	CVE: CVE-2023-4228
Прочая информация	Данные уточняются

Последние изменения

Банк данных угроз безопасности информации

Федеральная служба по техническому и экспортному контролю

ФСТЭК России

Государственный научно-исследовательский испытательный институт проблем технической защиты информации

ФАУ «ГНИИИ ПТЗИ ФСТЭК России»