CVE-2018-7785

Command injection z pominięciem uwierzytelnienia w Schneider Electric U.Motion Builder

CVSS 9.8v3.0pub. 2018-07-03upd. 2024-11-21

W oprogramowaniu Schneider Electric U.Motion Builder w wersjach wcześniejszych niż v1.3.4 istnieje podatność umożliwiająca zdalne wykonanie poleceń (command injection) z pominięciem mechanizmu uwierzytelnienia. Krytyczny poziom CVSS 9.8 oznacza, że atakujący nieuwierzytelniony, działający zdalnie, może przejąć pełną kontrolę nad systemem.

▸ Pokaż oryginał (EN)

In Schneider Electric U.motion Builder software versions prior to v1.3.4, a remote command injection allows authentication bypass.

🤖 Analiza AI

Jak działa

Podatność sklasyfikowana jako CWE-77 (Improper Neutralization of Special Elements used in a Command) polega na niewystarczającym filtrowaniu danych wejściowych przekazywanych do poleceń systemowych. Atakujący może spreparować żądanie sieciowe zawierające złośliwy payload, który zostanie zinterpretowany i wykonany przez system operacyjny jako polecenie. Co istotne, exploit nie wymaga żadnego uwierzytelnienia — podatność pozwala jednocześnie ominąć mechanizmy kontroli dostępu.

Skutki

Atakujący może zdalnie wykonać dowolne polecenia systemowe z uprawnieniami procesu aplikacji, co prowadzi do pełnego naruszenia poufności, integralności oraz dostępności systemu. Możliwe skutki obejmują przejęcie kontroli nad urządzeniem, kradzież danych oraz zakłócenie działania instalacji automatyki budynkowej.

Mitygacja

Należy zaktualizować oprogramowanie Schneider Electric U.Motion Builder do wersji v1.3.4 lub nowszej. Szczegółowe informacje i patch dostępne są w biuletynie producenta SEVD-2018-151-01 pod adresem: https://www.schneider-electric.com/en/download/document/SEVD-2018-151-01/