Vulnerabilidade de Execução Remota de Código por Percurso de Diretório getJavaExecutable no Inductive Automation Ignition

A exploração bem-sucedida da CVE-2023-50233 pode permitir que um atacante obtenha controle total sobre o servidor Ignition. Isso inclui a capacidade de ler, modificar e excluir dados confidenciais, instalar malware, e até mesmo usar o servidor comprometido como um ponto de apoio para ataques a outros sistemas na rede. A falha reside na função getJavaExecutable, que não valida adequadamente o caminho fornecido pelo usuário antes de usá-lo em operações de arquivo. Um atacante pode manipular essa função para executar comandos arbitrários no contexto do processo Ignition. Embora a interação do usuário seja necessária, a facilidade de engenharia social pode tornar a exploração relativamente simples, especialmente em ambientes onde os usuários são propensos a clicar em links suspeitos.

Organizations utilizing Inductive Automation Ignition for industrial control and SCADA applications are at risk. This includes critical infrastructure sectors such as manufacturing, energy, and utilities. Specifically, deployments with limited network segmentation or inadequate user awareness training are particularly vulnerable.

• linux / server: Monitor Ignition server logs for unusual connection attempts or errors related to file access. Use journalctl -u ignition to filter for relevant events.

journalctl -u ignition | grep -i "java executable"

• java: Examine Java process arguments for suspicious paths or command-line parameters. Use ps aux | grep ignition to list running processes and their arguments. • generic web: Monitor web server access logs for requests targeting the getJavaExecutable endpoint with unusual parameters. Use grep to search for suspicious patterns in the logs.

grep -i "java executable" /var/log/apache2/access.log

1. 2024-05-03Disclosure

   disclosure

1. Reservado2023-12-05
2. Publicada2024-05-03
3. Modificada2024-08-02
4. EPSS atualizado2026-04-02

A mitigação primária para a CVE-2023-50233 é atualizar o Ignition para a versão corrigida fornecida pela Inductive Automation. Se a atualização imediata não for possível, considere implementar medidas de mitigação temporárias, como restringir o acesso à rede do servidor Ignition e monitorar o tráfego de rede em busca de conexões suspeitas. Implementar regras em um Web Application Firewall (WAF) para bloquear solicitações maliciosas direcionadas à função getJavaExecutable também pode ajudar a reduzir o risco. Além disso, revise as configurações de segurança do Ignition e certifique-se de que apenas usuários autorizados tenham acesso ao sistema.