В ПЛК Schneider Electric обнаружены серьезные уязвимости

В программируемых логических контроллерах (ПЛК) производства Schneider Electric обнаружены 3 опасные уязвимости, совместная эксплуатация которых может позволить злоумышленнику удаленно выполнить произвольный код или установить вредоносное ПО.

Уязвимости затрагивают контроллеры моделей Modicon Premium (все версии), Modicon Quantum (все версии), Modicon M340 (все версии), а также модуль Modicon BMXNOR0200 (все версии).

Уязвимости CVE-2018-7242 и CVE-2018-7240 представляют собой проблемы переполнения буфера и вызваны тем, что FTP-сервер не ограничивает длину параметра команды.

Еще одна уязвимость CVE-2018-7241 заключается в наличии неизменяемых учетных данных, позволяя злоумышленнику получить неавторизованный доступ к устройству.

Успешная эксплуатация вышеописанных уязвимостей может позволить удаленному неавторизованному злоумышленнику получить доступ к службе передачи файлов на устройстве, а затем выполнить произвольный код или установить вредоносное программное обеспечение.

Schneider Electric порекомендовала пользователям отключать FTP-сервисы на устройстве, если они не нужны для настройки или операций по техническому обслуживанию.