ICS-CERT poinformował o podatności w produktach Orpak, General Electric oraz Sierra Wireless.

Producent: Orpak

Podatności:

  • CVE-2017-14728 – aplikacja zawiera permanentne loginy i hasła wpisane w kodzie aplikacji.
  • CVE-2017-14850 – interfejs webowy aplikacji nie neutralizuje poprawnie danych wejściowych kontrolowanych przez użytkownika, co może umożliwić wykonywanie skryptów między witrynami.
  • CVE-2017-14851 – aplikacja nie filtruje prawidłowo danych wejściowych, co może umożliwić atakującemu uzyskanie dostępu do produktu.
    CVE-2017-14852 – aplikacja przesyła informacje w postaci zwykłego tekstu, w tym poświadczenia, które mogą umożliwić osobie atakującej dostęp do przesyłanych danych w celu uzyskania poświadczeń i obejścia uwierzytelnienia.
  • CVE-2017-14853 – aplikacja nie ogranicza poprawnie składni z danych zewnętrznych, co może umożliwić nieuwierzytelnionym użytkownikom wykonanie spreparowanego kodu w systemie docelowym.
  • CVE-2017-14854 – aplikacja wykorzystuje funkcję, która niewystarczająco sprawdza dane wprowadzane przez użytkownika, przez co może umożliwić atakującemu wykonanie dowolnego kodu.

Podatne produkty:

Więcej informacji: https://ics-cert.us-cert.gov/advisories/ICSA-19-122-01

Producent: General Electric

Podatności:

  • CVE-2019-6564 – użytkownik niebędący administratorem może umieścić szkodliwe pliki w katalogu plików instalatora, co może umożliwić osobie atakującej uzyskanie uprawnień administracyjnych w systemie podczas instalacji lub aktualizacji.
  • CVE-2019-6546atakujący może umieścić szkodliwe pliki w katalogu roboczym programu, co może umożliwić atakującemu manipulowanie widgetami i elementami interfejsu użytkownika.
  • CVE-2019-6544 – usługa działająca z uprawnieniami systemowymi może pozwolić nieuprzywilejowanemu użytkownikowi na wykonanie czynności administracyjnych, które mogą umożliwić wykonanie zaplanowanych skryptów z uprawnieniami administratora systemu.
  • CVE-2019-6566 – użytkownik niebędący administratorem może zastąpić deinstalator złośliwą wersją, która może pozwolić osobie atakującej na uzyskanie uprawnień administrator.

Podatne produkty:

  • komunikator GE, wszystkie wersje wcześniejsze niż 4.0.517.

Więcej informacji: https://ics-cert.us-cert.gov/advisories/ICSA-19-122-02

Producent: Sierra Wireless

Podatności:

  • CVE-2018-4061 spreparowane, uwierzytelnione żądanie HTTP ma możliwość wstrzyknięcia dowolnego polecenia, co umożliwia zdalne wykonanie kodu.
  • CVE-2018-4062 – aktywacja usługi SNMPD poza WebUI może spowodować aktywację loginu i hasła wpisanego w kodzie aplikacji.
  • CVE-2018-4063 spreparowane, uwierzytelnione żądanie HTTP może przesłać plik, co spowoduje wykonanie kodu na serwerze.
  • CVE-2018-4065 spreparowane żądanie ping HTTP może spowodować wykonanie kodu JavaScript w przeglądarce użytkownika.
  • CVE-2018-4067 spreparowane, uwierzytelnione żądanie HTTP może spowodować wyciek informacji, co spowoduje ujawnienie wewnętrznych ścieżek plików.
  • CVE-2018-4069 – dane logowania podczas uwierzytelniania są przesyłane jawnym tekstem, przez co atakujący podsłuchujący ruch ma możliwość ich przechwycenia. 

Podatne produkty:

  • AirLink ALEOS
    • LS300, GX400, GX440 oraz ES440: wersja 4.4.8 i wcześniejsze.
    • GX450 oraz ES450: wszystkie wersje wcześniejsze niż 4.9.4.
    • MP70, MP70E, RV50, RV50X, LX40 oraz LX60: wszystkie wersje wcześniejsze niż 4.12.

Więcej informacji: https://ics-cert.us-cert.gov/advisories/ICSA-19-122-03