1. Tổng quan và phân tích
Trong hoạt động theo dõi giám sát diễn biến an toàn thông tin trên không gian mạng, Team CMC Telecom Threat Intelligence đã ghi nhận thông báo bảo mật liên quan đến các lỗ hổng mức độ nghiêm trọng trong các sản phẩm của Schneider Electric. Cụ thể, là các bộ điều khiển (controller) tự động hóa có thể lập trình bao gồm Modicon M340, Momentum, và MC80 – được sử dụng rộng rãi để giám sát và kiểm soát các hoạt động. Tác nhân đe dọa có thể lợi dụng lỗ hổng để truy cập trái phép vào các controller này, dẫn đến mất tính bảo mật, v.v.
Tóm tắt ba lỗ hổng được đề cập trong thông báo:
| CVE Number | Description | CVSS Base Score |
| CVE-2024-8936 | Trong khi tác nhân đe dọa thực hiện thành công Man-In-The-Middle attacks, tồn tại lỗ hổng Improper Input Validation có thể dẫn đến mất tính bảo mật của bộ nhớ bộ điều khiển, bằng cách gửi một yêu cầu được tạo đặc biệt gọi hàm Modbus. | 8.3 |
| CVE-2024-8937 | Trong khi tác nhân đe dọa thực hiện thành công Man-In-The-Middle attacks, tồn tại lỗ hổng Improper Restriction of Operations trong giới hạn của bộ nhớ đệm có thể gây ra thực thi mã tùy ý, bằng cách gửi một yêu cầu được tạo đặc biệt gọi hàm Modbu để can thiệp vào vùng bộ nhớ có liên quan đến quá trình xác thực. | 9.2 |
| CVE-2024-8938 | Trong khi tác nhân đe dọa thực hiện thành công Man-In-The-Middle attacks, tồn tại lỗ hổng Improper Restriction of Operations trong giới hạn của bộ nhớ đệm có thể gây ra thực thi mã tùy ý, bằng cách gửi một yêu cầu được tạo đặc biệt gọi hàm Modbu để can thiệp vào vùng bộ nhớ có liên quan đến tính toán kích thước bộ nhớ. | 9.2 |
2. Ảnh hưởng và giảm thiểu rủi ro
Schneider Electric đã phát hành bản cập nhật cho Modicon M340.
Đối với các MC80 và Momentum controller, các kế hoạch khắc phục đang được phát triển và người dùng được khuyến khích thực hiện các biện pháp giảm thiểu ngay lập tức như bảo vệ tường lửa trên cổng 502/TCP và danh sách kiểm soát truy cập.
| STT | Tên Ứng dụng | Phiên bản ảnh hưởng | Phiên bản cần nâng cấp |
| 1 | Modicon M340 | < SV3.65 | >= SV3.65 |
**Liên quan
