PT-2014-38: Внедрение произвольных файлов в Honeywell EPKS
Уязвимое ПО
Honeywell EPKS
Версия: R311
Ссылка:
http://honeywell.com/
Рейтинг опасности
Уровень опасности: Средний
Воздействие: Внедрение произвольных файлов
Вектор атаки: Удаленный
CVSS v2:
Base Score: 5.0
Vector: (AV:N/AC:L/Au:N/C:N/I:P/A:N)
CVE: отсутствует
Описание программы
Honeywell Experion PKS - эффективная система управления и обеспечения безопасности, которая расширяет возможности распределенной системы управления. Experion представляет собой безопасную, надежную, масштабируемую, централизованную систему управления, обеспечивающую высокий уровень совместимости на всех этапах деятельности предприятия.
Описание уязвимости
Специалисты Исследовательского центра Positive Research компании Positive Technologies обнаружили уязвимость "Внедрение произвольных файлов" в Honeywell EPKS.
Уязвимость существует в функции hsc_s_confpnt() модуля confd.exe и связана с отсутствием проверки входных и выходных параметров имени файла на наличие команды, которая позволяет злоумышленнику внедрить файлы.
Решение
Установите последнюю версию программы
Статус уведомления
06.03.2014 - Производителю отправлены детали уязвимости
02.06.2014 - Производитель выпустил исправление
18.11.2014 - Публикация уязвимости
Благодарности
Уязвимость обнаружил Кирилл Нестеров (Исследовательский центр Positive Research компании Positive Technologies)
Ссылки
http://www.securitylab.ru/lab/PT-2014-38
Список отчетов о ранее обнаруженных уязвимостях Positive Research:
http://www.ptsecurity.ru/lab/advisory/
http://www.securitylab.ru/lab/