Множественные уязвимости в системе управления зданиями Optergy Proton/Enterprise

В системе управления зданиями Optergy Proton/Enterprise обнаружены множественные уязвимости, часть из которых относится к критическим. Успешная эксплуатация выявленных уязвимостей может позволить злоумышленнику добиться удаленного выполнения кода и получить полный доступ к системе.

Всего в решении было выявлено семь брешей безопасности. Наиболее опасными уязвимостями являются:

• Разрешение загрузки потенциально опасных файлов (CVE-2019-7274). Удаленный злоумышленник, не прошедший проверку подлинности, может загружать файлы с произвольными расширениями в каталог внутри корневого каталога приложения и запускать их с правами веб-сервера. Эта уязвимость получила оценку 9,9 баллов по шкале CVSS v.3 и связана с отсутствием проверки расширения файла при загрузке файлов.
• Скрытый функционал (CVE-2019-7276), позволяющий выполнять неаутентифицированный код с наивысшими привилегиями. Используя эту уязвимость, злоумышленник может напрямую перейти к недокументированному бэкдор-скрипту и получить полный доступ к системе. Данная брешь получила максимальную оценку опасности – 10 баллов по шкале CVSS v.3.
• Использование опасных незадекларированных функций (CVE-2019-7278), которые могут быть использованы неаутентифицированным пользователем для прямого доступа к определенным ресурсам. По шкале CVSS v.3 данная уязвимость была оценена на 7,3 баллов.
• Уязвимость, связанная с использованием жестко закодированных учетных данных (CVE-2019-7279), которая может быть использована злоумышленником для отправки неавторизованных SMS-сообщений на любой номер телефона в зависимости от сохраненных в функции данных. По шкале CVSS v.3 эта уязвимость получила оценку 7,3 балла.

Кроме того, выявленные уязвимости включают уязвимость раскрытия информации (CVE-2019-7272), межсайтовая подделка запроса (CVE-2019-7273), открытое перенаправление (CVE-2019-7275).

Уязвимостям подвержены продукты версии 2.3.0a и предыдущих версий.

Для устранения указанных проблем производитель рекомендует обновить сервер Optergy до версии 2.4.5 или более поздней.

Источник: ICS-CERT