Обнаружены критические уязвимости в ПО WebAccess от Advantech

Обнаружены критические уязвимости в ПО WebAccess от Advantech

Уязвимости связаны с переполнением буфера в стеке, внедрением кода и команд, а также некорректной авторизацией.

image

Исследователи Питер Ченг (Peter Cheng) из компании Elex CyberSecurity и Мэт Пауэлл (Mat Powell) из команды Zero Day Initiative компании Trend Micro обнаружили критические уязвимости в программном обеспечении Advantech WebAccess. Их эксплуатация позволяет злоумышленникам удаленно выполнять произвольный код, получать доступ к файлам и выполнять действия с повышенными привилегиями, а также удалять данные.

Advantech WebAccess — конфигурируемая при помощи web-браузера SCADA-система с архитектурой клиент/сервер, представляющая фундаментальную основу управления данными в системе IoT. Она используется для автоматизации сложных производственных процессов в ситуациях, когда необходимы удаленные операции.

Уязвимости затрагивают версии WebAccess 8.4.1 и младше. Эксплуатация первой уязвимости (CVE-2019-13558) связана с некорректным управлением генерирования кода и позволяет злоумышленнику удаленно выполнить код, извлечь данные или вызвать сбой в системе. Проблема получила оценку в 9,8 балла по шкале CVSS v3.

Уязвимость (CVE-2019-13552) связана с некорректной нейтрализацией специальных элементов, используемых в командах. Она также позволяет удаленно выполнять код и внедрять множественные команды. Переполнение буфера в стеке (CVE-2019-13556) может быть вызвано отсутствием надлежащей проверки пользовательских данных. Ее эксплуатация также позволяет удаленно выполнить код.

Последняя проблема (CVE-2019-13550) связана с некорректной авторизацией, с помощью которой злоумышленник может раскрыть конфиденциальную информацию, вызвать некорректное управление генерацией кода и привести к удаленному выполнению кода или сбое в системе.

Компания Advantech исправила данную уязвимость в версии WebAccess 8.4.2.

Подписывайтесь на каналы "SecurityLab" в TelegramTelegram и Яндекс.ДзенЯндекс.Дзен, чтобы первыми узнавать о новостях и эксклюзивных материалах по информационной безопасности.