КиберосноваSGRC
BDU:2019-01864
Низкий

BDU:2019-01864: Уязвимость интегрированного веб-сервера устройств SIMATIC, связанная с недостаточной защитой структуры веб-страницы, позволяющая нарушителю оказать воздействие на конфиденциальность и целостность защищаемой информации

CVSS v35.4
CVSS v23.5
Пересчитать в калькулятореОткрыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2019-01864

Описание

Уязвимость интегрированного веб-сервера устройств SIMATIC связана с недостаточной защитой структуры веб-страницы при изменении определенной части конфигурации устройства с помощью SNMP. Эксплуатация уязвимости может позволить нарушителю, имеющего доступ к уязвимой системе, системные права и возможность взаимодействия с пользователем, оказать воздействие на конфиденциальность и целостность защищаемой информации

Что делать с BDU:2019-01864

Низкая уязвимость (CVSS 5.4) — устраните при плановом обновлении. Если уязвимый компонент не используется в критичных системах, риск минимален.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1
5.4Средний
Пересчитать →
v2
3.5
Только просмотр
AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:NAV:N/AC:M/Au:S/C:N/I:P/A:N

CWE — тип уязвимости

CWE-79

CVE — международный идентификатор

CVE-2019-6577
CWE-79
Межсайтовый скриптинг (XSS)

Позволяет внедрить вредоносный JavaScript-код в веб-страницу, который выполнится в браузере жертвы. Приводит к краже cookies, перенаправлению, подмене контента.

Как атакуют и что делать ▾

Сценарий атаки

Злоумышленник внедряет JavaScript через форму поиска или URL-параметр. При открытии страницы жертвой скрипт выполняется в контексте её сессии.

Последствия

Кража cookies и токенов сессии, перенаправление на фишинг, подмена контента страницы.

Рекомендации

Экранируйте вывод (output encoding), настройте Content-Security-Policy заголовки, валидируйте ввод на сервере.

Тактики и техники

Инъекция

Уязвимое ПО (9)

ВендорНазваниеВерсияПлатформа
Siemens AGSIMATIC HMI Comfort Outdoor Panels 7" and 15"до 15.1 Update 1Не указана
Siemens AGSIMATIC HMI KTP Mobile Panelsдо 15.1 Update 1Не указана
Siemens AGSIMATIC WinCC Runtime Advancedдо 15.1 Update 1Не указана
Siemens AGSIMATIC WinCC Runtime Professionalдо 15.1 Update 1Не указана
Siemens AGSIMATIC WinCC (TIA Portal)до 15.1 Update 1Не указана
Siemens AGSIMATIC HMI Comfort 4 -22" Panelsдо 15.1 Update 1Не указана
Siemens AGSIMATIC HMI TP Mobile Panel-Не указана
Siemens AGSIMATIC HMI OP Mobile Panel-Не указана
Siemens AGSIMATIC HMI MP Mobile Panel-Не указана

Рекомендации по устранению

Обновление прграммного обеспечения для SIMATIC HMI Comfort Panels 4" - 22", SIMATIC HMI Comfort Outdoor Panels 7" & 15", SIMATIC HMI KTP Mobile Panels, SIMATIC WinCC Runtime Advanced, SIMATIC WinCC Runtime Professional, SIMATIC WinCC (TIA Portal) до V15.1 Update 1: https://support.industry.siemens.com/cs/ww/en/view/109763890/ Компенсирующие меры для SIMATIC HMI Classic Devices (TP/MP/OP/MP Mobile Panel): Ограничение доступа к веб-интерфейсу уязвимых устройств Ограничение доступа к порту 161/UDP для доверенных устройств

Источники (1)

SLA ФСТЭК №117

30 дней

по базовой оценке CVSS 5.4

Уточните SLA под вашу среду

Базовый балл 5.4 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Отслеживать

Низкий текущий риск. Устраните при плановом обновлении.

EPSS — вероятность эксплуатации0.9%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2019-05-14

Опубликована

2019-05-31

Обновлена

2021-03-23

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • SLA-таймеры и эскалация — дедлайны не горят
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2019-6577 MITRE: CWE-79 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК

Связанные уязвимости

BDU:2022-07424
Критический
9.8

Уязвимость программного обеспечения продуктов Siemens SIMATIC и SINAMICS, позволяющая нарушителю выполнить произвольный

BDU:2023-03468
Высокий
7.5

Уязвимость микропрограммного обеспечения продуктов Siemens SIMATIC и SINAMICS, связанная с ошибкой освобождения памяти,

BDU:2019-04219
Высокий
7.5

Уязвимость программно-аппаратного обеспечения Siemens, связанная с ошибками обработки большого количества UDP-пакетов, п

BDU:2019-01862
Средний
9.1

Уязвимость программного обеспечения устройств Siemens Simatic, связанная с ошибками управления разрешениями, позволяющая

BDU:2019-01863
Средний
7.5

Уязвимость программного обеспечения устройств SIMATIC, связанная с ошибками использования криптографии, позволяющая нару

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 85 000+ уязвимостямМодуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.

Калькулятор CVSS v4.0