CVE-2018-14811

RCE przez untrusted pointer dereference w Fuji Electric V-Server

CVSS 9.8v3.0pub. 2018-09-26upd. 2024-11-21

W oprogramowaniu Fuji Electric V-Server w wersji 4.0.3.0 i wcześniejszych zidentyfikowano wiele podatności typu untrusted pointer dereference. Mogą one zostać zdalnie wykorzystane do wykonania dowolnego kodu na atakowanym systemie.

▸ Pokaż oryginał (EN)

Fuji Electric V-Server 4.0.3.0 and prior, Multiple untrusted pointer dereference vulnerabilities have been identified, which may allow remote code execution.

🤖 Analiza AI

Jak działa

Podatności sklasyfikowane jako CWE-822 (untrusted pointer dereference) i CWE-476 (NULL pointer dereference) polegają na tym, że aplikacja używa wskaźników pochodzących z niezaufanych danych wejściowych bez ich odpowiedniej weryfikacji. Atakujący może dostarczyć spreparowane dane sieciowe zawierające złośliwe wartości wskaźników, co prowadzi do odczytu lub zapisu w nieautoryzowanych obszarach pamięci. Możliwe jest w ten sposób przejęcie kontroli nad przepływem wykonania programu i uruchomienie dowolnego kodu.

Skutki

Zdalny atakujący bez uwierzytelnienia może uzyskać pełną kontrolę nad systemem poprzez wykonanie dowolnego kodu (RCE), co zagraża poufności, integralności oraz dostępności danych i systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (doradztwo ICS-CERT ICSA-18-254-01). Zaleca się niezwłoczne zaktualizowanie oprogramowania do wersji nowszej niż 4.0.3.0 oraz ograniczenie dostępu sieciowego do systemów V-Server za pomocą firewall.

Kogo dotyczy

Fuji Electric V-Server oraz V-Server Firmware w wersji 4.0.3.0 i wcześniejszych

Uwagi

Podatność dotyczy oprogramowania przemysłowego klasy SCADA/HMI (systemy ICS). Poradnia bezpieczeństwa została opublikowana przez ICS-CERT (ICSA-18-254-01), co wskazuje na środowisko przemysłowe jako główny obszar ryzyka.