BDU:2023-04961: Уязвимость веб-сервера программируемого логического контроллера ioLogik, связанная с использованием cookie для хранения конфиденциальной информации без флага HttpOnly, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации

Описание уязвимости Уязвимость веб-сервера программируемого логического контроллера ioLogik связана с использованием cookie для хранения конфиденциальной информации без флага HttpOnly. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации
Вендор Moxa Inc.
Наименование ПО ioLogik E4200
Версия ПО до 1.6 включительно
Тип ПО ПО программно-аппаратного средства
Операционные системы и аппаратные платформы Данные уточняются
Тип ошибки Конфиденциальный файл cookie без флага «HttpOnly»
Идентификатор типа ошибки CWE-1004
Класс уязвимости Уязвимость кода
Дата выявления 24.08.2023
Базовый вектор уязвимости
  • CVSS 2.0: AV:N/AC:H/Au:N/C:P/I:N/A:N
  • CVSS 3.0: AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N
Уровень опасности уязвимости Низкий уровень опасности (базовая оценка CVSS 2.0 составляет 2,6) Низкий уровень опасности (базовая оценка CVSS 3.0 составляет 3,1)
Возможные меры по устранению уязвимости
Использование рекомендаций:
https://www.moxa.com/en/support/product-support/security-advisory/mpsa-230310-iologik-4000-series-multiple-web-server-vulnerabilities-and-improper-access-control-vulnerability

Компенсирующие меры:
- ограничение подключения к программному продукту из сетей общего пользования (Интернет);
- сегментирование сети с целью ограничения доступа к промышленному сегменту из других подсетей;
- применение средств межсетевого экранирования уровня веб-приложений.
Статус уязвимости Подтверждена производителем
Наличие эксплойта Данные уточняются
Способ эксплуатации
  • Несанкционированный сбор информации
Способ устранения Обновление программного обеспечения
Информация об устранении Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
Прочая информация Данные уточняются