ICS-CERT informuje o nowych podatnościach w produktach firmy Elcopmplus

utworzone przez | kwi 20, 2022 | ICS

ProduktSmartPPT SCADA Server v1.4
Numer CVECVE-2021-43932
Krytyczność9.8/10
CVSSAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
OpisUwierzytelniony atakujący może wstrzyknąć dowolny kod JavaScript do krytycznych parametrów.
  
Numer CVECVE-2021-43938
Krytyczność8.1/10
CVSSAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
OpisNieuwierzytelniony użytkownik może żądać różnych plików z serwera bez uwierzytelniania lub autoryzacji.
  
Numer CVECVE-2021-43934
Krytyczność9.8/10
CVSSAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
OpisSerwer posiada funkcję, która umożliwia przesyłanie aktualizacji aplikacji; jednak weryfikacja nie jest wymagana, co umożliwia złośliwym użytkownikom przesyłanie dowolnych plików.
  
Numer CVECVE-2021-43930
Krytyczność9.8/10
CVSSAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
OpisOprogramowanie używa zewnętrznych danych wejściowych do skonstruowania nazwy ścieżki, która powinna znajdować się w katalogu z ograniczeniami, ale nie neutralizuje prawidłowo sekwencji ukośnych kropek, które mogą być rozpoznane w lokalizacji znajdującej się poza tym katalogiem.
AktualizacjaTAK
Linkhttps://www.cisa.gov/uscert/ics/advisories/icsa-22-109-05
ProductSmartPPT SCADA v1.1
Numer CVECVE-2021-43932
Krytyczność9/10
CVSSAV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H
OpisAtakujący może wstrzyknąć kod JavaScript do określonego parametru, który może zostać wykonany po uzyskaniu dostępu do pulpitu nawigacyjnego lub strony głównej.
  
Numer CVECVE-2021-43939
Krytyczność8.8/10
CVSSAV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
OpisNisko uwierzytelniony użytkownik może uzyskać dostęp do autoryzacji administracyjnego wyższego poziomu, wysyłając żądania bezpośrednio do żądanych punktów końcowych.
  
Numer CVECVE-2021-43934
Krytyczność9.8/10
CVSSAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
OpisNisko uwierzytelniony użytkownik może uzyskać dostęp do autoryzacji administracyjnego wyższego poziomu, wysyłając żądania bezpośrednio do żądanych punktów końcowych.
AktualizacjaTAK
Linkhttps://www.cisa.gov/uscert/ics/advisories/icsa-22-109-04