Emerson DeltaV puffer túlcsordulásos sérülékenység

CH azonosító

CH-7679

Angol cím

EMERSON DELTAV BUFFER OVERFLOW

Felfedezés dátuma

2012.09.30.

Súlyosság

Magas

Érintett rendszerek

DeltaV
Emerson

Érintett verziók

DeltaV V9.3.1, V10.3.1, V11.3, V11.3.1

Összefoglaló

Az Emerson DeltaV egy sérülékenységét jelentették, amit kihasználva a támadók feltörhetik a sérülékeny rendszert.

Leírás

A sérülékenységet az okozza, hogy a szolgáltatás lehetővé teszi a string-ek másolását határellenőrzés nélkül (bounds checking), amit kihasználva rendszer összeomlást lehet előidézni, ha a támadó túlságosan nagy méretű string-et küld egy meghatározott portra.

A sérülékenységet távolról ki lehet használni, de jelenleg nincs ismert PoC (proof-of-concept) kód.

Megoldás

A gyártó kiadott egy hotfix-et, ami javítja a sérülékenységet. A 9.3.1 és 10.3 verziókat használóknak javasolják a frissítést a 10.3.1 kiadásra, mert azokhoz nem készült javítás.

További javaslatok a kockázatok csökkentésére:

  1. Minimalizálja a vezérlőrendszer eszközök hálózati elérhetőségét! A kritikus eszközök ne érjék el közvetlenül az Internetet!
  2. A vezérlőrendszer hálózatokat és a távolról elérhető eszközöket védje tűzfalakkal és szigetelje el őket az üzleti hálózattól!
  3. Távoli hozzáférés szükségessége esetén használjon olyan biztonsági megoldásokat, mint a virtuális magánhálózat (VPN)!

 


Legfrissebb sérülékenységek
CVE-2024-53104 – Linux Kernel sérülékenysége
CVE-2025-4632 – Samsung MagicINFO 9 Server Path Traversal sérülékenysége
CVE-2023-38950 – ZKTeco BioTime Path Traversal sérülékenysége
CVE-2025-27920 – Srimax Output Messenger Directory Traversal sérülékenysége
CVE-2025-4428 – Ivanti Endpoint Manager Mobile (EPMM) Code Injection sérülékenysége
CVE-2025-4427 – Ivanti Endpoint Manager Mobile (EPMM) Authentication Bypass sérülékenysége
CVE-2024-27443 – Synacor Zimbra Collaboration Suite (ZCS) Cross-Site Scripting (XSS) sérülékenysége
CVE-2024-11182 – MDaemon Email Server Cross-Site Scripting (XSS) sérülékenysége
CVE-2025-42999 – SAP NetWeaver Deserialization sérülékenysége
CVE-2024-12987 – DrayTek Vigor Routers OS Command Injection sérülékenysége
Tovább a sérülékenységekhez »