Összefoglaló
Az Advantech WebAccess közepes kockázati besorolású sérülékenysége vált ismertté, melyet kihasználva a támadó tetszőleges kódot futtathat az érintett rendszeren. A sérülékenységet kiküszöbölő megoldás már beszerezhető a gyártótól.
Leírás
A WebAccess (korábbi nevén BroadWin WebAccess) egy web alapú SCADA és HMI termék. A terméket kereskedelmi intézmények, kritikus infrastruktúrák, energia és kormánylétesítmények is használják.
A szoftver ActiveX vezérlője két hibát is tartalmaz:
- Veszélyes ActiveX vezérlők vannak biztonságosnak (safe-for-scripting) jelölve.
- Egy speciálisan megszerkesztett DLL állomány segítségével puffer túlcsordulás idézhető elő.
A sérülékenységek nem használhatóak ki távolról, felhasználói beavatkozás nélkül, kizárólag akkor, ha a felhasználó sérülékeny szoftvert futtat.
Megoldás
Frissítsen a legújabb verzióraMegoldás
Frissítsen a 8.1_20160519 verzióra.
Támadás típusa
execute arbitrary codeHatás
Loss of confidentiality (Bizalmasság elvesztése)Szükséges hozzáférés
Local/Shell (Helyi/shell)Hivatkozások
Egyéb referencia: ics-cert.us-cert.gov
CVE-2016-4528 - NVD CVE-2016-4528
CVE-2016-4525 - NVD CVE-2016-4525