CVE-2023-28829

NiskieCVSS 3.9

Opublikowano: 13/06/2023(UTC)Zaktualizowano: 23/10/2026(UTC)Przetłumaczono: 24/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.29%

Percentyl 21 - wyżej niż 21% wszystkich znanych CVE

Streszczenie

Podatność dotyczy produktów SIMATIC NET PC Software, SIMATIC PCS 7, SIMATIC WinCC (< V8.0) i SINAUT Software ST7sc, które domyślnie korzystały z przestarzałych usług OPC DA, HDA i AE. Usługi te oparte na ActiveX i DCOM nie implementują nowoczesnych mechanizmów uwierzytelniania i szyfrowania.

Ocena ryzyka

Brak silnego uwierzytelniania i szyfrowania może umożliwić nieautoryzowany dostęp do danych procesowych oraz ich przechwycenie. Zwiększa to ryzyko naruszenia poufności i integralności w środowiskach przemysłowych.

Rekomendacja

Zaplanuj migrację do SIMATIC WinCC V8 lub nowszego, które nie używają domyślnie przestarzałych usług OPC. Do czasu aktualizacji ogranicz dostęp sieciowy do usług OPC i segmentuj sieć.

Inne podatności w SIMATIC WinCC

CVE-2026-59241Wysokie
Podatność w SIMATIC WinCC V7.5, V8.0 i V8.1 polega na niewystarczającym ograniczeniu uprawnień przypisanych do roli bazy danych. Uwierzytelniony zdalny atakujący z dostępem do bazy danych może eskalować uprawnienia i wykonywać dowolne polecenia na systemie, gdzie zainstalowany jest SIMATIC WinCC, co może prowadzić do kompromitacji systemu.

Oryginalny opis (angielski, źródło NVD)

A vulnerability has been identified in SIMATIC NET PC Software V14 (All versions), SIMATIC NET PC Software V15 (All versions), SIMATIC PCS 7 V8.2 (All versions), SIMATIC PCS 7 V9.0 (All versions), SIMATIC PCS 7 V9.1 (All versions), SIMATIC WinCC (All versions < V8.0), SINAUT Software ST7sc (All versions). Before SIMATIC WinCC V8, legacy OPC services (OPC DA (Data Access), OPC HDA (Historical Data Access), and OPC AE (Alarms & Events)) were used per default. These services were designed on top of the Windows ActiveX and DCOM mechanisms and do not implement state-of-the-art security mechanisms for authentication and encryption of contents.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS