CVE-2024-54092
CVE-2024-54092
En resumen
Los dispositivos Industrial Edge no verifican correctamente la identidad del usuario en ciertos endpoints de API al usar federación de identidad, permitiendo que atacantes eludan la autenticación e suplanten a usuarios legítimos sin credenciales válidas.
Detalle técnico
CWE-1390 (Fallo en la Aplicación de Autenticación) en Industrial Edge Device Kit y productos relacionados: endpoints de API no autenticados fallan en validar credenciales de usuario cuando la federación de identidad está habilitada, permitiendo que atacantes remotos eludan mecanismos de autenticación e suplanten a usuarios autorizados. Vector de ataque es de red sin interacción del usuario.
Resumen generado y traducido por IA a partir de la descripción oficial.
A vulnerability has been identified in Industrial Edge Device Kit - arm64 V1.17 (All versions), Industrial Edge Device Kit - arm64 V1.18 (All versions), Industrial Edge Device Kit - arm64 V1.19 (All versions), Industrial Edge Device Kit - arm64 V1.20 (All versions < V1.20.2-1), Industrial Edge Device Kit - arm64 V1.21 (All versions < V1.21.1-1), Industrial Edge Device Kit - x86-64 V1.17 (All versions), Industrial Edge Device Kit - x86-64 V1.18 (All versions), Industrial Edge Device Kit - x86-64 V1.19 (All versions), Industrial Edge Device Kit - x86-64 V1.20 (All versions < V1.20.2-1), Industrial Edge Device Kit - x86-64 V1.21 (All versions < V1.21.1-1), Industrial Edge Own Device (IEOD) (All versions < V1.21.1-1-a), Industrial Edge Virtual Device (All versions < V1.21.1-1-a), SCALANCE LPE9413 (6GK5998-3GS01-2AC2) (All versions < V2.1), SIMATIC IPC BX-39A Industrial Edge Device (All versions < V3.0), SIMATIC IPC BX-59A Industrial Edge Device (All versions < V3.0), SIMATIC IPC127E Industrial Edge Device (All versions < V3.0), SIMATIC IPC227E Industrial Edge Device (All versions < V3.0), SIMATIC IPC427E Industrial Edge Device (All versions < V3.0), SIMATIC IPC847E Industrial Edge Device (All versions < V3.0). Affected devices do not properly enforce user authentication on specific API endpoints when identity federation is used. This could facilitate an unauthenticated remote attacker to circumvent authentication and impersonate a legitimate user. Successful exploitation requires that identity federation is currently or has previously been used and the attacker has learned the identity of a legitimate user.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Productos afectados
Siemens · Industrial Edge Device Kit - arm64 V1.17Siemens · Industrial Edge Device Kit - arm64 V1.18Siemens · Industrial Edge Device Kit - arm64 V1.19Siemens · Industrial Edge Device Kit - arm64 V1.20Siemens · Industrial Edge Device Kit - arm64 V1.21Siemens · Industrial Edge Device Kit - x86-64 V1.17Siemens · Industrial Edge Device Kit - x86-64 V1.18Siemens · Industrial Edge Device Kit - x86-64 V1.19Siemens · Industrial Edge Device Kit - x86-64 V1.20Siemens · Industrial Edge Device Kit - x86-64 V1.21Siemens · Industrial Edge Own Device (IEOD)Siemens · Industrial Edge Virtual DeviceSiemens · SCALANCE LPE9413Siemens · SIMATIC IPC127E Industrial Edge DeviceSiemens · SIMATIC IPC227E Industrial Edge DeviceSiemens · SIMATIC IPC427E Industrial Edge DeviceSiemens · SIMATIC IPC847E Industrial Edge DeviceSiemens · SIMATIC IPC BX-39A Industrial Edge DeviceSiemens · SIMATIC IPC BX-59A Industrial Edge Device¿Quieres saber si tu infraestructura está expuesta a esto?
Hablar con TrueHacking →