مسئلهٔ تأییدشده
گزارش Cisco Talos، نقص کنترل مجوز در مسیر nodered نرم‌افزار FUXA را شرح می‌دهد. نسخهٔ تأییدشدهٔ متأثر 1.3.2-2809 است و مهاجم بدون حساب می‌تواند با درخواست شبکه به اجرای کد برسد. FUXA ابزار وب برای ساخت رابط نظارت و کنترل فرایندهاست؛ بنابراین اهمیت استقرار فقط به محرمانگی یک وب‌سایت محدود نمی‌شود و ارتباط آن با تجهیزات و فرایندهای واقعی باید در ارزیابی محلی لحاظ شود.
شرط کاربردی مهم، فعال بودن یکپارچه‌سازی Node-RED و قابل دسترس بودن مسیر مربوط است. Talos توضیح می‌دهد که بررسی اعتبار توکن به تنهایی جای بررسی مجوز هویت را گرفته بود. پاسخ سازنده در همان گزارش اعلام می‌کند نسخهٔ 1.3.3 توکن مهمان و توکن تازه‌سازی را در میان‌افزار این مسیر رد می‌کند و کاربر غیرمهمان احراز‌شده یا کلید API معتبر را لازم می‌داند.
محدودهٔ نسخه و اولویت
رکورد CNA فقط ساخت 1.3.2-2809 را به‌عنوان نسخهٔ متأثر فهرست می‌کند. از این داده نباید یک بازهٔ عددی حدسی برای تمام انتشارهای قدیمی ساخت. گزارش Talos تاریخچهٔ مشکلات مشابه و اصلاح‌های قبلی را بیان می‌کند، اما این شناسه باید با اصلاح مختص خود در 1.3.3 پیگیری شود. نصب یک نسخهٔ قدیمی که صرفاً اصلاح آسیب‌پذیری دیگری را دارد، مدرک رفع این مورد نیست.
پیشنهاد تحریریه، اولویت دادن به درگاه‌هایی است که از شبکهٔ کاربران یا اینترنت به FUXA دسترسی می‌دهند. دسترسی مدیریتی از شبکهٔ تولید باید محدود به مسیرهای مجاز باشد. وجود دیوارهٔ آتش خارجی کافی نیست اگر مرورگر اپراتور، ایستگاه مهندسی یا سامانهٔ آلودهٔ داخلی همچنان بتواند مسیر آسیب‌پذیر را فراخوانی کند.
کاهش مواجهه و تغییر کنترل‌شده
اگر به Node-RED نیاز ندارید، یکپارچه‌سازی را از مسیر تنظیمات پشتیبانی‌شده غیرفعال کنید. در استقرارهایی که اتوماسیون به آن وابسته است، پیش از قطع دسترسی، مالک فرایند و مسئول بهره‌برداری را در تصمیم دخیل کنید. محدودکردن دسترسی شبکه، کنترل موقت است؛ چون ضعف در مرز مجوز برنامه قرار دارد، باقی گذاشتن نرم‌افزار قدیمی پشت یک صفحهٔ ورود معمولی کافی نیست.
قبل از ارتقا از تنظیمات FUXA و جریان‌های مورد استفاده نسخهٔ قابل بازیابی تهیه کنید. در محیطی جدا، نمایش داده، خواندن تاریخچه و اجرای عملیات مجاز را بررسی کنید. آزمون باید کنترل دسترسی مسیر Node-RED را نیز با حساب فاقد مجوز پوشش دهد، بدون آنکه جریان خطرناک یا فرمان تغییردهندهٔ تجهیزات در تولید اجرا شود. در محیط صنعتی، آزمون امنیتی باید با قواعد ایمنی فرایند هماهنگ باشد.
بررسی پیامد و معیار پایان
جریان‌های جدید یا تغییرکرده، زمان انتشار آن‌ها و هویت‌های مرتبط را مرور کنید. اتصال‌های خروجی غیرمنتظره از میزبان FUXA و تغییر فایل‌های برنامه نیز می‌توانند به بررسی رخداد کمک کنند. صرف ارتقا، تغییرات احتمالی قبلی در جریان‌ها را لغو نمی‌کند. برای پایان کار، نسخهٔ 1.3.3 یا انتشار پشتیبانی‌شدهٔ جدیدتر، بسته بودن دسترسی مهمان و سلامت گردش‌کار عملیاتی را مستند کنید. این گزارش دربارهٔ وقوع حملهٔ واقعی یا دستکاری فرایند در نصب مشخصی ادعا ندارد.
امتیاز و منابع
امتیاز ثبت‌شدهٔ CNA برابر 9.8 در CVSS 3.1 است. منبع امتیاز: talos. بردار رسمی: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. این امتیاز ادعای وقوع حمله یا حضور در فهرست KEV نیست.
تصویر همراه نشان frangoteam است و برای معرفی محصول یا سازنده استفاده می‌شود؛ تصویر حمله یا تأیید این گزارش توسط صاحب نشان نیست. بازبینی: ۲۹ اکتبر ۲۰۲۶.
