ICS-CERT informuje o podatnościach w wielu produktach

utworzone przez | cze 22, 2020 | ICS

ProduktJohnson Controls:
exacqVision Web Service, wersja 20.03.2.0 i wcześniejsze
exacqVision Enterprise Manager, wersja 20.03.3.0 i wcześniejsze
Numer CVE CVE-2020-9047
Krytyczność 6.8 / 10
Wektor CVSS AV:N/AC:H/PR:H/UI:R/S:C/C:L/I:H/A:L
Opis Oprogramowanie nie weryfikuje poprawnie podpisu danych, co może umożliwić osobie atakującej z uprawnieniami administracyjnymi pobranie i uruchomienie złośliwego pliku wykonywalnego.
Linkhttps://www.us-cert.gov/ics/advisories/icsa-20-170-01
ProduktMitsubishi Electric:
MC Works64 wersja 4.02C (10.95.208.31) i wcześniejsze
MC Works32 wersja 3.00A (9.50.255.02)

ICONICS:
GenBroker64, Platform Services, Workbench, FrameWorX Server, wersja 10.96 i wcześniejsze
GenBroker32, wersja 9.5 i wcześniejsze
Numer CVECVE-2020-12011
Krytyczność8.1 / 10
Wektor CVSSAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
OpisSpreparowany pakiet wysłany do systemów, może spowodować odmowę usługi lub umożliwić zdalne wykonanie kodu.
Numer CVE CVE-2020-12015
Krytyczność 7.5 / 10
Wektor CVSS AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Opis Spreparowany pakiet wysłany do systemów, może spowodować odmowę z powodu niewłaściwej deserializacji.
Numer CVE CVE-2020-12009
Krytyczność 7.5 / 10
Wektor CVSS AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Opis Spreparowany pakiet wysłany do funkcji Pack & Go może pozwolić na zdalne wykonanie kodu z powodu niewłaściwej deserializacji.
Numer CVE CVE-2020-12013
Krytyczność 9.4 / 10
Wektor CVSS AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L
Opis Spreparowana wiadomość wysłana z niestandardowej funkcji klienta, może pozwolić na zdalne wykonanie poleceń SQL i ujawnić dane.
Numer CVE CVE-2020-12007
Krytyczność 7.5 / 10
Wektor CVSS AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Opis Spreparowany pakiet wysłany do systemów, może spowodować odmowę usługi lub umożliwić zdalne wykonanie kodu z powodu niewłaściwej deserializacji.
Linkhttps://www.us-cert.gov/ics/advisories/icsa-20-170-02
https://www.us-cert.gov/ics/advisories/icsa-20-170-03
ProduktRockwell Automation:
FactoryTalk Services Platform, wszystkie wersje
Numer CVE CVE-2020-12033
Krytyczność 7.5 / 10
Wektor CVSS AV:A/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Opis RdcyHost.exe, którego dotyczy problem, nie sprawdza poprawności dostarczonych identyfikatorów, co może umożliwić nieuwierzytelnionemu atakującemu tworzenie obiektów COM z podwyższonymi uprawnieniami.
Linkhttps://www.us-cert.gov/ics/advisories/icsa-20-170-04
ProduktRockwell Automation:
FactoryTalk View SE, wszystkie wersje
Numer CVECVE-2020-12029
Krytyczność9.0 / 10
Wektor CVSSAV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N
OpisNieprawidłowo sprawdzana poprawność wprowadzania nazw plików w katalogu projektu, może pozwolić zdalnemu, nieuwierzytelnionemu atakującemu zdalne wykonanie kodu.
Numer CVE CVE-2020-12031
Krytyczność 7.5 / 10
Wektor CVSS AV:L/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:H
Opis Błąd związany z uszkodzenie pamięci może pozwolić lokalnemu, uwierzytelnionemu atakującemu wykonanie dowolnego kodu.
Numer CVE CVE-2020-12028
Krytyczność 7.5 / 10
Wektor CVSS AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N
Opis Błąd związany z obsługą uprawnień może pozwolić zdalnemu, uwierzytelnionemu atakującemu na wykorzystanie pewnych procedur obsługi do interakcji z danymi.
Linkhttps://www.us-cert.gov/ics/advisories/icsa-20-170-05