Хотя производитель был проинформирован о проблемах в апреле нынешнего года, уязвимости по-прежнему остаются неисправленными.
https://www.securitylab.ru/upload/ib...89b0a63406.jpg
В решении по управлению энергопотреблением на производственных объектах Delta DIAEnergie обнаружен ряд критических уязвимостей , эксплуатация которых может повлечь за собой тяжелые последствия для промышленных предприятий.
В частности, с помощью этих уязвимостей злоумышленник может удаленно фальсифицировать данные мониторинга, отключить сигналы тревоги или использовать скомпрометированную систему для осуществления вымогательских атак.
В общей сложности решение содержит восемь проблем, четыре из них представляют собой уязвимости внедрения SQL-кода и могут быть проэксплуатированы для удаленного выполнения произвольного кода. Еще одна уязвимость предоставляет возможность добавить нового пользователя с правами администратора и получить доступ к устройству.
Остальные проблемы связаны с наличием незашифрованного пароля и могут быть использованы для CSRF-атак (cross-site request forgery).
Хотя производитель решения компания Delta Electronics была проинформирована о проблемах в апреле нынешнего года, уязвимости все еще остаются неисправленными. Ожидается, что соответствующие патчи будут доступны 15 сентября.