CH azonosító
CH-4589Angol cím
Ecava IntegraXor unauthenticated SQL vulnerabilityFelfedezés dátuma
2011.03.23.Súlyosság
KritikusÖsszefoglaló
Az Ecava IntegraXor olyan sérülékenysége vált ismertté, amelyet a támadók kihasználhatnak adatok felfedésére és manipulálására, valamint az adatbázis szolgáltatást futtató backend hoston távoli kód futtatására.
Leírás
Egy támadó erre a célra kialakított HTTP POST kérések küldésével tetszőleges SQL parancsokkal módosíthatja az IntegraXor adatbázisát.
A sérülékenység sikeres kihasználása tetszőleges adatok felfedéséhez és manipulálásához, valamint távoli kód futattásához vezethet.
A sérülékenységet a 3.60. (build 4032) előtti verziókban ismerték fel.
Megoldás
- Telepítse az Ecava IntegraXor (Build 4050) javított verzióját az alábbi hivatkozásról:
http://www.integraxor.com/download/rc.msi - Csökkentse a nyílt hálózatra csatlakozó vezérlő rendszereszközök számát, a kritikus eszközök közvetlenül ne csatlakozzanak az Internetre!
- Keresse meg a tűzfal mögötti vezérlő rendszerhálózatokat és távoli eszközöket és szigetelje el azokat az üzleti hálózattól!
- Amennyiben távoli hozzáférésre van szüksége, alkalmazzon biztonságos megoldásokat pl. Virtuális magánhálózatokat (Virtual Private Networks – VPNs).
Támadás típusa
Input manipulation (Bemenet módosítás)Hatás
Loss of availability (Elérhetőség elvesztése)Loss of confidentiality (Bizalmasság elvesztése)
Loss of integrity (Sértetlenség elvesztése)
Szükséges hozzáférés
Remote/Network (Távoli/hálózat)Hivatkozások
Egyéb referencia: www.us-cert.gov