🕵️ General Electric Proficy HMI-SCADA iFIX Password Information Disclosure

🕛 Zeit seit Veröffentlichung: 2903 Tage, 10 Stunden 53 Minuten
📆 Veröffentlicht am: 13.02.2017 um 01:00 Uhr
Nachrichtenbereich: 🕵️ Sicherheitslücken
🔗 Quelle: vuldb.com

In General Electric Proficy HMI-SCADA iFIX, Proficy HMI, SCADA CIMPLICITY sowie Proficy Historian - die betroffene Version ist nicht bekannt - wurde eine problematische Schwachstelle entdeckt. Dabei geht es um eine unbekannte Funktion. Durch die Manipulation mit einer unbekannten Eingabe kann eine Information Disclosure-Schwachstelle (Password) ausgenutzt werden. Dies hat Einfluss auf die Vertraulichkeit.

Die Schwachstelle wurde am 13.02.2017 öffentlich gemacht. Die Verwundbarkeit wird als CVE-2016-9360 geführt. Der Angriff kann über das Netzwerk angegangen werden. Um eine Ausnutzung durchzusetzen, muss keine spezifische Authentisierung umgesetzt werden. Technische Details oder ein Exploit zur Schwachstelle sind nicht verfügbar. Ein Exploit zur Schwachstelle wird momentan etwa USD $5k-$25k kosten (Preisberechnung vom 02/14/2017).

Es sind keine Informationen bezüglich Gegenmassnahmen bekannt. Der Einsatz eines alternativen Produkts bietet sich im Zweifelsfall an.

CVSSv3

Base Score: 5.3
Temp Score: 5.3
Vector: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N/E:X/RL:X/RC:X
Zuverlässigkeit: High

CVSSv2

Base Score: 4.3 (CVSS2#AV:N/AC:M/Au:N/C:P/I:N/A:N)
Temp Score: 4.3 (CVSS2#E:ND/RL:ND/RC:ND)
Zuverlässigkeit: High

CPE

• cpe:/a:general_electric:proficy_hmi-scada_ifix
• cpe:/a:general_electric:proficy_hmi
• cpe:/a:general_electric:scada_cimplicity
• cpe:/a:general_electric:proficy_historian

Exploiting

Klasse: Information Disclosure
Lokal: Nein
Remote: Ja

Verfügbarkeit: Nein

Preisentwicklung: gleichbleibend
Aktuelle Preisschätzung: $0-$5k (0-day) / $0-$5k (Heute)

Gegenmassnahmen

Empfehlung: keine Massnahme bekannt
0-Day Time: 0 Tage seit gefunden

Timeline

13.02.2017 Advisory veröffentlicht
14.02.2017 VulDB Eintrag erstellt
14.02.2017 VulDB letzte Aktualisierung

Quellen

CVE: CVE-2016-9360 (mitre.org) (nvd.nist.org) (cvedetails.com)

Eintrag

Erstellt: 14.02.2017
Aktualisierung: 14.02.2017
Eintrag: 69.2% komplett
...