ICS-CERT informuje o podatnościach w Johnson Controls i Schneider Electric

Produkt	Software House C•CURE 9000, wersja 2.70 American Dynamics victor Video Management System, wersja 5.2
Numer CVE	CVE-2020-9045
Krytyczność	9.9 / 10
Wektor CVSS	AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Opis	Podczas instalacji lub aktualizacji do C•CURE 9000 v2.70 i victor Video Management System v5.2, poświadczenia użytkownika wykonującego instalację lub aktualizację są zapisywane w pliku. Plik dziennika instalacji nadal występuje po instalacji.
Link	https://www.us-cert.gov/ics/advisories/icsa-20-142-01

Produkt	EcoStruxure Operator Terminal Expert 3.1 Service Pack 1 i wcześniejsze
Numer CVE	CVE-2020-7493
Krytyczność	8.6 / 10
Wektor CVSS	AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
Opis	Luka może pozwolić atakującemu przeprowadzenie ataku SQL injection, zachęcając użytkownika do otwarcia specjalnie spreparowanego pliku.
Numer CVE	CVE-2020-7494
Krytyczność	7.7 / 10
Wektor CVSS	AV:L/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H
Opis	Atakujący może wykorzystać lukę path traversal, zachęcając użytkownika do otwarcia złośliwej strony lub pliku.
Numer CVE	CVE-2020-7495
Krytyczność	3.3 / 10
Wektor CVSS	AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N
Opis	Atakujący może wykorzystać lukę path traversal, zachęcając użytkownika do otwarcia złośliwej strony lub pliku.
Numer CVE	CVE-2020-7496
Krytyczność	3.3 / 10
Wektor CVSS	AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N
Opis	Atakujący może uzyskać nieautoryzowany dostęp do zapisu w systemie docelowym, nakłaniając użytkownika do otwarcia spreparowanego pliku.
Numer CVE	CVE-2020-7497
Krytyczność	6.3 / 10
Wektor CVSS	AV:L/AC:H/PR:H/UI:R/S:U/C:H/I:H/A:H
Opis	Luka umożliwia dowolne wykonanie aplikacji podczas uruchamiania komputera.
Link	https://www.us-cert.gov/ics/advisories/icsa-20-142-02