ST Engineering iDirect iQ-sorozatú terminálok

Tekintse meg a CSAF Összefoglalót. Ezen sebezhetőségek sikeres kihasználása lehetővé teheti a támadó számára, hogy jogosulatlan hozzáférést nyerjen a készülék információihoz, vagy beleavatkozzon a szolgáltatásnyújtásba. Az alábbi ST Engineering iDirect iQ-sorozatú terminálok érintettek: Evolution iQ‑sorozatú terminálok <=4.5.2.1 (CVE-2026-38059, CVE-2026-38057), 3315‑sorozatú terminálok <=4.5.2.1 (CVE-2026-38059, CVE-2026-38057), 9‑sorozatú terminálok <=4.5.2.1 (CVE-2026-38059, CVE-2026-38057). CVSS Gyártó Berendezések Sebezhetőségek v3 8.1 ST Engineering iDirect. ST Engineering iDirect iQ-sorozatú terminálok: Hiányzó Hitelesítés Kritikus Funkciókhoz, Keresztoldali Kérés Hamisítás (CSRF). Háttér Kritikus Infrastruktúra Ágazatok: Kommunikáció, Védelmi Ipari Alap, Energia, Kormányzati Szolgáltatások és Létesítmények, Szállítási Rendszerek. Elhelyezkedő Országok/Megyék: Világszerte. Vállalat Székhelye: Egyesült Államok. Sebezhetőségek Kiterjesztése: CVE-2026-38059. Az iDirect iQ200 a /api/identity és /api/ REST API végpontokat hitelesítés nélkül teszi elérhetővé. Egy azonosítással nem rendelkező támadó, aki hálózati hozzáféréssel rendelkezik, érzékeny készülék információkat, például sorozatszámot, Eszköz ID-t (DID), Terminál Privát Kulcs azonosítót (TPK), MAC-címet és pontos firmware verziót tud lekérdezni. A DID és TPK a műholdas hálózat hitelesítésére szolgál az iDirect platformon, lehetővé téve a terminál utánzását és a hálózati felderítést. Tekintse meg a CVE Részleteket. Érintett Termékek: ST Engineering iDirect iQ-sorozatú terminálok. Gyártó: ST Engineering iDirect. Termék Verziió: ST Engineering iDirect Evolution iQ‑sorozatú terminálok: <=4.5.2.1, ST Engineering iDirect 3315‑sorozatú terminálok: <=4.5.2.1, ST Engineering iDirect 9‑sorozatú terminálok: <=4.5.2.1. Termék Állapot: ismert_érintett. Helyreállítások: Megelőzés. ST Engineering iDirect javította a sebezhetőségeket, és ajánlja a felhasználóknak, hogy frissítsék a szoftvert 4.5.2.2-es vagy újabb verzióra. Megelőzés: A regisztrált felhasználók letölthetik a javításokat az iDirect Támogató Portálról: https://support.idirect.net/s/login. Megelőzés: Korlátozza a kezelés interfészeit megbízható hálózatokra (pl. VPN, ACL). Megelőzés: Kerülje az adminisztratív API-k nyilvános internetre történő kitetését. Megelőzés: Kényszerítse a szigorú hitelesítési gyakorlatokat. Megelőzés: Figyeljen a rendellenes API tevékenységekre és a váratlan készülék újraindulásokra. Kapcsolódó CWE: CWE-306 Hiányzó Hitelesítés Kritikus Funkciókhoz. Metrikák: CVSS Verzió AlapPontszám AlapSúlyosság VektorString 3.1 7.5 MAGAS CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N 4.0 8.7 MAGAS CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N. CVE-2026-38057 Az iDirect iQ200 nem érvényesíti a CSRF tokeneket az állapotváltozó API végpontokon hitelesítés után. A /api/reboot végpont csak egy munkamenet sütivel hitelesített POST kéréseket fogad, ami hiányolja a SameSite attribútumot. Egy távoli támadó létrehozhat egy rosszindulatú weboldalt, amelyet, ha egy hitelesített adminisztrátor meglátogat, automatikusan beküldi a keresztoldali POST kérést, azonnali készülék újraindítást és műholdas kapcsolat megszakadást okozva. Ismételt támadások fenntarthatják a szolgáltatásmegtagadási állapotot. Tekintse meg a CVE Részleteket. Érintett Termékek: ST Engineering iDirect iQ-sorozatú terminálok. Gyártó: ST Engineering iDirect. Termék Verzió: ST Engineering iDirect Evolution iQ‑sorozatú terminálok: <=4.5.2.1, ST Engineering iDirect 3315‑sorozatú terminálok: <=4.5.2.1, ST Engineering iDirect 9‑sorozatú terminálok: <=4.5.2.1. Termék Állapot: ismert_érintett. Helyreállítások: Megelőzés. ST Engineering iDirect javította a sebezhetőségeket, és ajánlja a felhasználóknak, hogy frissítsék a szoftvert 4.5.2.2-es vagy újabb verzióra. Megelőzés: A regisztrált felhasználók letölthetik a javításokat az iDirect Támogató Portálról: https://support.idirect.net/s/login. Megelőzés: Korlátozza a kezelés interfészeit megbízható hálózatokra (pl. VPN, ACL). Megelőzés: Kerülje az adminisztratív API-k nyilvános internetre történő kitetését. Megelőzés: Kényszerítse a szigorú hitelesítési gyakorlatokat. Megelőzés: Figyeljen a rendellenes API tevékenységekre és a váratlan készülék újraindulásokra. Kapcsolódó CWE: CWE-352 Keresztoldali Kérés Hamisítás (CSRF). Metrikák CVSS Verzió AlapPontszám AlapSúlyosság VektorString 3.1 8.1 MAGAS CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H 4.0 7 MAGAS CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:H/VA:H/SC:N/SI:N/SA:N. Elismerések: Ahmed Alqahtani az Aramcotól jelentette ezeket a sebezhetőségeket a CISA-nak. Jogi Nyilatkozat és Felhasználási Feltételek: Ez a termék a következő értesítés (https://www.cisa.gov/notification) és a következő Adatvédelmi és Használati politika (https://www.cisa.gov/privacy-policy) függvényében kerül biztosításra. Ajánlott gyakorlatok: A CISA javasolja, hogy a felhasználók tegyenek védekező intézkedéseket a sebezhetőségek kihasználásának kockázatának minimalizálására. Minimalizálja az összes vezérlőrendszer készülék és/vagy rendszer hálózati expozícióját, biztosítva, hogy azok ne legyenek hozzáférhetők az internetről. Helyezze a vezérlőrendszer hálózatokat és távoli eszközöket tűzfalak mögé, izolálva őket az üzleti hálózatoktól. Amennyiben távoli hozzáférés szükséges, használjon biztonságosabb módszereket, például virtuális magánhálózatokat (VPN), figyelembe véve, hogy a VPN-ek is rendelkezhetnek sebezhetőségekkel és frissítve legyenek a legfrissebb verzióra. Továbbá vegye figyelembe, hogy a VPN-ek csak annyira biztonságosak, mint a csatlakoztatott eszközök. A CISA emlékezteti a szervezeteket, hogy végezzenek megfelelő hatáselemzést és kockázatértékelést a védekező intézkedések bevezetése előtt. A CISA szakaszt biztosít a vezérlőrendszer biztonsággal kapcsolatos ajánlott gyakorlatoknak az ICS weboldalán, a cisa.gov/ics oldalon. Számos CISA termék, amelyek a kibervédelmi legjobb gyakorlatokat részletezik, elérhető olvasásra és letöltésre, ideértve az Ipari Vezérlőrendszerek Kibervédelmének Fejlesztése Módszerek mélyreható stratégiákkal címűt. A CISA ösztönzi a szervezeteket, hogy valósítsák meg az ajánlott kiberbiztonsági stratégiákat az ICS eszközök proaktív védelme érdekében. További mérséklési útmutatók és ajánlott gyakorlatok nyilvánosan elérhetők az ICS weboldalán a cisa.gov/ics alatt, a technikai információs dokumentumban, ICS-TIP-12-146-01B--Célzott Cyber Betörésészlelés és Mérséklési Stratégiák címmel. Azoknak a szervezeteknek, amelyek gyanús rosszindulatú tevékenységet észlelnek, be kell tartaniuk a meglévő belső eljárásokat, és jelenteniük kell az eredményeiket a CISA-nak, hogy nyomon követhessék és korrelálhassák más eseményekkel. A CISA azt is ajánlja a felhasználóknak, hogy tegyenek meg a következő intézkedéseket a társadalmi manipulációs támadások elleni védelem érdekében: Ne kattintson webhivatkozásokra, és ne nyisson meg mellékleteket nem kért e-mail üzenetekben. További információ az e-mail átverések elkerüléséről itt található: Az e-mail csalások felismerése és elkerülése. További információ a társadalmi manipulációs és halászati támadások elkerüléséről itt található: A társadalmi manipulációnak és a halászati támadásoknak a megelőzése. Jelenleg nem érkezett jelentés olyan nyilvános kihasználásról, amely kifejezetten ezekre a sebezhetőségekre céloz. Revision History. Kezdeti Kiadás Dátuma: 2026-07-02. Dátum, Felülvizsgálati Összegzés: 2026-07-02 1 Kezdeti Közlés.