Vulnerabilidad en el protocolo IC de Trend Controls (CVE-2022-30312)

El protocolo IC de Trend Controls versiones hasta 06-05-2022, permite la transmisión en texto sin cifrar de información confidencial. De acuerdo con FSCT-2022-0050, se presenta un problema de transmisión de credenciales en texto sin cifrar del protocolo Inter-Controller (IC) de Trend Controls. Los componentes afectados se caracterizan como: Protocolo Inter-Controller (IC) (57612/UDP). El impacto potencial es: Compromiso de credenciales. Varios controladores de automatización de edificios de Trend Controls usan el protocolo Inter-Controller (IC) para el intercambio de información y la automatización. Este protocolo ofrece autenticación en forma de un PIN de 4 dígitos para proteger el acceso a operaciones confidenciales como las cargas y descargas de estrategias, así como una protección opcional de nombre de usuario y contraseña de 0 a 30 caracteres para la protección del acceso a la página web. Tanto el PIN como los nombres de usuario y las contraseñas se transmiten en texto sin cifrar, lo que permite a un atacante con capacidad de interceptación pasiva obtener estas credenciales. Las credenciales son transmitidas en texto sin cifrar. Un atacante que obtenga las credenciales de Trend IC puede llevar a cabo acciones de ingeniería confidenciales, como manipular la estrategia del controlador o los ajustes de configuración. Si las credenciales en cuestión son (re)usadas para otras aplicaciones, su compromiso podría facilitar potencialmente el movimiento lateral