ICS-CERT informuje o podatnościach w Schneider Electric i VISAM

Produkt	IGSS, wersja 14 i wcześniejsze
Numer CVE	CVE-2020-7478
Krytyczność	7.5 / 10
Wektor CVSS	AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Opis	Luka umożliwia zdalnemu, nieuwierzytelnionemu atakującemu odczytanie dowolnych plików na urządzeniu.
Numer CVE	CVE-2020-7479
Krytyczność	7.8 / 10
Wektor CVSS	AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Opis	Luka umożliwia lokalnemu użytkownikowi wykonywanie procesów, które w innym przypadku wymagałyby eskalacji uprawnień podczas wysyłania poleceń dla aktualizacji IGSS.
Link	https://www.us-cert.gov/ics/advisories/icsa-20-084-02

Produkt	VBASE Editor, wersja 11.5.0.2 VBASE Web-Remote Module
Numer CVE	CVE-2020-7008
Krytyczność	7.5 / 10
Wektor CVSS	AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Opis	Dane wejściowe przekazane w adresie URL nie są poprawnie weryfikowane przed użyciem, co może umożliwić osobie atakującej odczytanie dowolnych plików z zasobów lokalnych.
Numer CVE	CVE-2020-7004
Krytyczność	8.2 / 10
Wektor CVSS	AV:L/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H
Opis	Błędy w katalogu VBASE mogą spowodować podniesienie uprawnień lub szkodliwe efekty w systemie przy następnym uruchomieniu aplikacji przez uprzywilejowanego użytkownika.
Numer CVE	CVE-2020-10601
Krytyczność	7.1 / 10
Wektor CVSS	AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
Opis	Słaby algorytm haszowania może pozwolić lokalnemu atakującemu na ataki typu brute-force lub nadpisanie haszów hasła.
Numer CVE	CVE-2020-10599
Krytyczność	9.0 / 10
Wektor CVSS	AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H
Opis	Luka umożliwia zdalnemu atakującemu spowodowanie stanu odmowy usługi (DoS) lub wykonanie dowolnego kodu poprzez wykorzystanie błędu przepełnienia bufora w komponencie ActiveX.
Link	https://www.us-cert.gov/ics/advisories/icsa-20-084-01