КиберосноваSGRC
BDU:2024-05735
Высокий

BDU:2024-05735: Уязвимость микропрограммного обеспечения коммутаторов RUGGEDCOM ROS, связанная с раскрытием системных данных неавторизованной для контролируемой области, позволяющая нарушителю раскрыть защищаемую информацию

CVSS v38.8
CVSS v28.3
Пересчитать в калькулятореОткрыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2024-05735

Описание

Уязвимость микропрограммного обеспечения коммутаторов RUGGEDCOM ROS связана с раскрытием системных данных неавторизованной для контролируемой области. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию

Что делать с BDU:2024-05735

Высокая уязвимость (CVSS 8.8) должна быть устранена в приоритетном порядке. Рекомендуемый срок — 7 дней по приказу ФСТЭК №117. Проверьте список затронутого ПО ниже и запланируйте обновление.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1
8.8Высокий
Пересчитать →
v2
8.3
Только просмотр
AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HAV:A/AC:L/Au:N/C:C/I:C/A:C

CWE — тип уязвимости

CWE-497

CVE — международный идентификатор

CVE-2024-39675
SSA-170375

Тактики и техники

Несанкционированный сбор информации

Уязвимое ПО (40)

ВендорНазваниеВерсияПлатформа
Siemens AGRUGGEDCOM RSG2100NC(32M)от 5.0.0 до 5.9.0Не указана
Siemens AGRUGGEDCOM RST916Pдо 5.9.0Не указана
Siemens AGRUGGEDCOM RST916Cдо 5.9.0Не указана
Siemens AGRUGGEDCOM RST2228до 5.9.0Не указана
Siemens AGRUGGEDCOM RST2228Pдо 5.9.0Не указана
Siemens AGRUGGEDCOM RSL910до 5.9.0Не указана
Siemens AGRUGGEDCOM RSG910Cдо 5.9.0Не указана
Siemens AGRUGGEDCOM RSG907Rдо 5.9.0Не указана
Siemens AGRUGGEDCOM RSG908Cдо 5.9.0Не указана
Siemens AGRUGGEDCOM RSG909Rдо 5.9.0Не указана
Siemens AGRUGGEDCOM RSG2300Pот 5.0.0 до 5.9.0Не указана
Siemens AGRUGGEDCOM RSG2300от 5.0.0 до 5.9.0Не указана
Siemens AGRUGGEDCOM RSG2288от 5.0.0 до 5.9.0Не указана
Siemens AGRUGGEDCOM RS900G (32M)от 5.0.0 до 5.9.0Не указана
Siemens AGRUGGEDCOM RS900 (32M)от 5.0.0 до 5.9.0Не указана
Siemens AGRUGGEDCOM RMC30NCдо 4.3.10Не указана
Siemens AGRUGGEDCOM RP110NCдо 4.3.10Не указана
Siemens AGRUGGEDCOM RS400NCдо 4.3.10Не указана
Siemens AGRUGGEDCOM RS401NCдо 4.3.10Не указана
Siemens AGRUGGEDCOM RS416NCдо 4.3.10Не указана
Siemens AGRUGGEDCOM RS416PNCдо 4.3.10Не указана
Siemens AGRUGGEDCOM RMC30до 4.3.10Не указана
Siemens AGRUGGEDCOM RP110до 4.3.10Не указана
Siemens AGRUGGEDCOM RS400до 4.3.10Не указана
Siemens AGRUGGEDCOM RS401до 4.3.10Не указана
Siemens AGRUGGEDCOM RS416до 4.3.10Не указана
Siemens AGRUGGEDCOM RS910до 4.3.10Не указана
Siemens AGRUGGEDCOM RS910Wдо 4.3.10Не указана
Siemens AGSINEMA Remote Connectдо 3.2 HF1Не указана
Siemens AGRUGGEDCOM RS416NC 2до 4.3.10Не указана
Siemens AGRUGGEDCOM RS416NC 2до 5.9.0Не указана
Siemens AGRUGGEDCOM RS416Pдо 4.3.10Не указана
Siemens AGRUGGEDCOM RS416PNC 2до 4.3.10Не указана
Siemens AGRUGGEDCOM RS416PNC 2до 5.9.0Не указана
Siemens AGRUGGEDCOM RS910L-Не указана
Siemens AGRUGGEDCOM RS910LNC-Не указана
Siemens AGRUGGEDCOM RS910NCдо 4.3.10Не указана
Siemens AGRUGGEDCOM RS920L-Не указана
Siemens AGRUGGEDCOM RS920LNC-Не указана
Siemens AGRUGGEDCOM RS920W-Не указана

Рекомендации по устранению

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков. Компенсирующие меры: 1. Отключить сервер Modbus, если он не требуется в уязвимой системе. 2. Ограничить доступ к порту 502/tcp только доверенным IP-адресам. Использование рекомендаций производителя: https://cert-portal.siemens.com/productcert/html/ssa-170375.html

Источники (1)

SLA ФСТЭК №117

7 дней

по базовой оценке CVSS 8.8

Уточните SLA под вашу среду

Базовый балл 8.8 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Отслеживать (повышенный)

Умеренный риск. Включите в плановый цикл обновлений, следите за изменением EPSS.

EPSS — вероятность эксплуатации0.1%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2024-07-09

Опубликована

2024-07-25

Обновлена

2024-07-25

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • SLA-таймеры и эскалация — дедлайны не горят
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2024-39675 MITRE: CWE-497 Каталог CPE (ФСТЭК)

Связанные уязвимости

BDU:2025-10421
Средний
6.1

Уязвимость микропрограммного обеспечения платформ маршрутизации и коммутации RUGGEDCOM, связанная с использованием крипт

BDU:2025-10710
Средний
6.9

Уязвимость микропрограммного обеспечения Ethernet коммутаторов RUGGEDCOM ROS, связанная с недостаточной обработкой исклю

BDU:2025-10711
Средний
6.3

Уязвимость микропрограммного обеспечения Ethernet коммутаторов RUGGEDCOM ROS, связанная с использованием криптографическ

BDU:2024-05700
Высокий
7.5

Уязвимость веб-серверов микропрограммного обеспечения Ethernet-коммутаторов RUGGEDCOM, позволяющая нарушителю получить н

BDU:2023-05220
Критический
9.8

Уязвимость микропрограммного обеспечения Ethernet коммутаторов RUGGEDCOM ROS, позволяющая нарушителю передать произвольн

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 85 000+ уязвимостямМодуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.

Калькулятор CVSS v4.0