Podatności interfejsu komunikacyjnego PI WebAPI firmy OSI

ICS-CERT poinformował o nowych podatnościach:

Producent: OSIsoft

Produkty: PI Web API

Skutki wykorzystania podatności: podwyższenie uprawnień i zdalne wykonanie kodu za pośrednictwem konta usługi.

Opis podatności: uprawnienia i kontrola dostępu; skrypty cross-site

Podatność:

• CVE-2018-7500 uprawnienia, przywileje i kontrola dostępu
• CVE-2018-7508 możliwy atak Cross-site scripting

Lista produktów których dotyczy podatność:

PI Web API wersje 2017 R2 i wcześniejsze (lecz nie wszystkie konfiguracje)

Aktualizacje i dodatkowe informacje dostępne są na stronach: https://techsupport.osisoft.com/Troubleshooting/Alerts/AL00337 https://techsupport.osisoft.com/Troubleshooting/Alerts/AL00336

Informacja ICS-CERT: https://ics-cert.us-cert.gov/advisories/ICSA-18-072-04