ICS-CERT informuje o podatnościach w Emerson i Rockwell Automation

utworzone przez | maj 20, 2020 | ICS

ProduktOpenEnterprise, wszystkie wersje przed 3.3.4
Numer CVE CVE-2020-10640
Krytyczność 10 / 10
Wektor CVSS AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Opis Luka może pozwolić atakującemu na uruchomienie dowolnych poleceń z uprawnieniami systemowymi lub na zdalne wykonanie kodu.
Numer CVECVE-2020-10632
Krytyczność8.8 / 10
Wektor CVSSAV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
OpisNiewłaściwe uprawnienia zabezpieczeń folderów mogą pozwolić na modyfikację ważnych plików konfiguracyjnych
Numer CVE CVE-2020-10636
Krytyczność 6.5 / 10
Wektor CVSS AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N
Opis Niewłaściwe szyfrowanie może umożliwić uzyskanie haseł do kont użytkowników OpenEnterprise.
Linkhttps://www.us-cert.gov/ics/advisories/icsa-20-140-02
ProduktEDS Subsystem, wersja 28.0.1 i wcześniejsze:
FactoryTalk Linx software (wcześniej RSLinx Enterprise), wersje 6.00, 6.10, 6.11
RSLinx Classic, wersja 4.11.00 i wcześniejsze
RSNetWorx software, wersja 28.00.00 i wcześniejsze
Studio 5000 Logix Designer software, wersja 32 i wcześniejsze
Numer CVECVE-2020-12038
Krytyczność6.7 / 10
Wektor CVSSAV:L/AC:L/PR:L/UI:R/S:C/C:N/I:L/A:H
OpisW podsystemie EDS występuje luka związana z uszkodzeniem pamięci, która może pozwolić atakującemu na tworzenie wyspecjalizowanych plików EDS w celu awarii obiektu COM EDSParser.
Numer CVE CVE-2020-12034
Krytyczność 8.2 / 10
Wektor CVSS AV:A/AC:L/PR:N/UI:N/S:C/C:N/I:L/A:H
Opis Podsystem EDS nie zapewnia odpowiedniej weryfikacji danych wejściowych, co może umożliwić atakującemu stworzenie specjalnych plików EDS w celu wstrzyknięcia zapytań SQL i manipulowania bazą danych przechowującą pliki EDS.
Linkhttps://www.us-cert.gov/ics/advisories/icsa-20-140-01