BDU:2023-01454

Уязвимость сервера данных SCADA-системы IGSS Data Server и инструментов мониторинга системы Custom Reports и IGSS Dashboard, существующая из-за неверного ограничения имени пути к каталогу с ограниченным доступом, позволяющая нарушителю выполнить произвольный код

Опубликовано: 2023-03-23

Описание

Уязвимость функции getRMSreportFile сервера данных SCADA-системы IGSS Data Server и инструментов мониторинга системы Custom Reports и IGSS Dashboard существует из-за неверного ограничения имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код с помощью специально сформированного файла

Затрагиваемое ПО и версии

IGSS Data Server (до 16.0.0.23040 включительно)IGSS Dashboard (до 16.0.0.23040 включительно)Custom Reports (до 16.0.0.23040 включительно)

Способ устранения

Использование рекомендаций производителя:
https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2023-073-04&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2023-073-04.pdf

Оценка CVSS

Балл	7.2 — высокая опасность

Источники и патчи

https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2023-073-04&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2023-073-04.pdf https://www.cybersecurity-help.cz/vdb/SB2023032025 https://www.zerodayinitiative.com/advisories/ZDI-23-338/

Проверьте безопасность своего сайта и почты → Полная проверка домена