ICS-CERT informuje o nowej podatności w produkcie firmy General Electric

utworzone przez | wrz 23, 2020 | ICS

ProduktReason S20 managed Ethernet switches:
  S2020, wszystkie wersje firmware wcześniejsze niż 07A06
  S2024, wszystkie wersje firmware wcześniejsze niż 07A06
Numer CVECVE-2020-16242
Krytyczność6.1 / 10
CVSSAV:N/AC:H/PR:N/UI:R/S:C/C:N/I:H/A:N
AktualizacjaTAK
OpisLuka związana z cross-site scripting (XSS), która może pozwolić atakującemu na nakłonienie użytkowników aplikacji do wykonania krytycznych działań aplikacji, które obejmują między innymi dodawanie i aktualizowanie kont.
Numer CVECVE-2020-16246
Krytyczność6.1 / 10
CVSSAV:N/AC:H/PR:N/UI:R/S:C/C:N/I:H/A:N
AktualizacjaTAK
OpisLuka związana z cross-site scripting (XSS), która może pozwolić atakującemu na nakłonienie użytkowników do skorzystania z łącza lub przejścia do strony, która zawiera złośliwy kod JavaScript.
Linkhttps://us-cert.cisa.gov/ics/advisories/icsa-20-266-02
ProduktDigital APM Classic, wersja 4.4 i wcześniejsze
Numer CVECVE-2020-16240
Krytyczność7.5 / 10
CVSSAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
AktualizacjaTAK
OpisLuka w insecure direct object reference (IDOR) umożliwia pobieranie danych konta użytkownika w formacie JavaScript Object Notation (JSON). Atakujący może pobrać poufne dane związane z kontami użytkowników bez posiadania odpowiednich uprawnień.
Numer CVECVE-2020-16244
Krytyczność7.2 / 10
CVSSAV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
AktualizacjaTAK
OpisBłąd w obliczaniu hash’ów haseł. Ta podatność, wraz z luką w zabezpieczeniach IDOR, naraża całą platformę na wysokie ryzyko, ponieważ uwierzytelniony użytkownik może pobrać wszystkie dane konta użytkownika, a następnie rzeczywiste hasła.
Linkhttps://us-cert.cisa.gov/ics/advisories/icsa-20-266-01