Boa noite,
Sou pesquisador de segurança da informação e estou abrindo esse tópico com intuito de obter um contato para que eu possa reportar falhas de segurança crítica em versões distinta do ScadaBR.
Busquei o contato dos responsáveis/desenvolvedores do ScadaBR mas não consegui encontrar ou ter certeza de para quem eu poderia fazer esse tipo de report.
Se possível, podem deixar aqui o melhor canal e a melhor forma para que possa ser efetuado o report em maiores detalhes.
Agradeço.
Olá,
Aqui no Brasil o ScadaBR foi descontinuado pelos dev, a última versão foi 1.1. O ScadaBR está sendo continuado, porem não pelos dev BR, o projeto conta com 20 contribuidores pelo mundo e agora se chama ScadaLTS. Talvez você consiga reportar a possível falha no github do projeto:
De qualquer forma, tu poderia publicar aqui no fórum também.
Bom dia,
Obrigado pelas informações @jrcassa!
Em breve estarei disponibilizando aqui a prova de conceito das vulnerabilidades e o impacto.
O mitre (organização mundial que registra vulnerabilidade em produtos) já atribuiu os CVE ID,
então logo estarei compartilhando aqui, vou estudar possíveis mitigações sem que seja necessário alteração em código ou não.
Boa noite,
Gostaria de informar sobre duas vulnerabilidades encontradas no ScadaBR:
CVE-2021-26829 - ScadaBR 0.9.1 Linux e ScadaBR 1.12.4 no Windows, permite atacantes remotos execução de Stored XSS através da página system_settings.shtm.
A vulnerabilidade é categorizada como Medium e CVSS Base Score: 6.5
Prova de conceito: https://www.youtube.com/watch?v=Xh6LPCiLMa8
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-26829
CVE-2021-26828 - ScadaBR 0.9.1 Linux e ScadaBR 1.12.4 no Windows permite usuários remotos autenticados, realizar Upload arbitrário e executar códigos remotos através de arquivos .jsp.
A vulnerabilidade é categorizada com o High CVSS Base Score: 8.7
Prova de conceito:
Referências:
https://nvd.nist.gov/vuln-metrics/cvss
Fico a disposição em eventuais duvidas.
Obrigado por reportar essas vulnerabilidades. Já estou trabalhando numa correção e irei comunicar a equipe do Scada-LTS para que eles também possam providenciar uma correção se for o caso.