В Schneider Electric ProClima обнаружены серьезные уязвимости

По данным ICS-CERT, в утилите конфигурации ProClima, использующейся в энергетической отрасли, было обнаружено несколько серьезных уязвимостей, позволяющих скомпрометировать систему. Их успешная эксплуатация позволит удаленному пользователю выполнить произвольный код на целевой системе.

Три уязвимости (CVE-2014-8513, CVE-2014-8514 и CVE-2014-9188) связаны с элементом управления ActiveX MetaDraw. Злоумышленник может с помощью специально сформированного web-сайта вызвать переполнение буфера и выполнить произвольный код на системе пользователя.

Еще две уязвимости (CVE-2014-8511 и CVE-2014-8512) связаны с элементом управления Atx45.ocx и также позволяют злоумышленникам вызвать переполнение буфера.

Уязвимости достаточно просто проэксплуатировать, они не требуют каких-либо сложных технологий взлома. Признаков активной эксплуатации в настоящее время не обнаружено.

Бреши присутствуют в ProClima 6.0.1 и более ранних версиях ПО. Они были устранены в исправлении 6.1.7, но перед установкой обновления производитель рекомендует полностью удалить устаревшую версию программы.

С описанием уязвимостей можно ознакомиться  здесь .