ГрамотаИБ ГрамотаИБ

BDU:2022-04983

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4,6) Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,1) CVSS 6.099999904632568 · AV:L/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L

Уязвимость среды разработки приложений для программируемых логических контроллеров ISaGRAF Workbench, связанная с неверным ограничением имени пути к каталогу с ограниченным доступом, позволяющая нарушителю повысить свои привилегии

Соответствие зарубежным идентификаторам

CVE-2022-2463

Отчёты сканеров говорят на языке CVE, требования регуляторов — на языке БДУ. Перевести список из отчёта →

Описание

Уязвимость среды разработки приложений для программируемых логических контроллеров ISaGRAF Workbench связана с неверным ограничением имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии с помощью специально созданного вредоносного файла формата .7z

Способ устранения

Использование рекомендаций: https://www.cisa.gov/uscert/ics/advisories/icsa-22-202-03 Компенсирующие меры: 1) Следует запускать ISaGRAF Workbench от имени пользователя, а не от имени администратора, чтобы свести к минимуму воздействие вредоносного кода на зараженную систему; 2) Не следует открывать ненадежные файлы с расширением .7z; 3) Рекомендуется использовать Microsoft AppLocker или другое подобное программное обеспечение для управленеия доступом и контроля запукскаемых приложений и файлов; 4) Необходимо соблюдать принцип пользователя с наименьшими привилегиями и минимальным количеством необходимых прав.

Сведения записи

Дата публикации: 15.08.2022
Класс уязвимости: Уязвимость кода
Статус: Подтверждена производителем
Устранение: Уязвимость устранена
Эксплойт: Данные уточняются

Уязвимое программное обеспечение

ПроизводительНазваниеВерсияПлатформа
Rockwell Automation Inc.ISaGRAF Workbenchот 6.0 до 6.6.9 включительноНе указана

Чтобы такие записи находились не вручную, ведите реестр программного обеспечения: в личном кабинете уязвимости сопоставляются с вашим ПО, а работы по устранению попадают в план. Завести кабинет →

Источник: Банк данных угроз безопасности информации ФСТЭК России. Данные выгружены 17.08.2026, записей в справочнике — 92920. Справочник не является официальным ресурсом ФСТЭК России: сверяйте сведения с первоисточником.