CVE-2019-6957

Przepełnienie buforu w produktach Bosch Video/Access — zdalne wykonanie kodu

CVSS 9.8v3.1pub. 2019-05-29upd. 2024-11-21

Krytyczna podatność typu buffer overflow (CWE-787) dotyka szerokiego zakresu produktów Bosch z obszaru zarządzania wideo i kontroli dostępu. Umożliwia nieautoryzowane wykonanie kodu na podatnym systemie poprzez interfejs sieciowy bez konieczności uwierzytelnienia.

▸ Pokaż oryginał (EN)

A recently discovered security vulnerability affects all Bosch Video Management System (BVMS) versions 9.0 and below, DIVAR IP 2000, 3000, 5000 and 7000, Video Recording Manager (VRM), Video Streaming Gateway (VSG), Configuration Manager, Building Integration System (BIS) with Video Engine, Access Professional Edition (APE), Access Easy Controller (AEC), Bosch Video Client (BVC) and Video SDK (VSDK). The vulnerability potentially allows the unauthorized execution of code in the system via the network interface.

🤖 Analiza AI

Jak działa

Podatność polega na przepełnieniu buforu poza przydzielonym obszarem pamięci (out-of-bounds write, CWE-787). Atakujący może wywołać ten błąd zdalnie przez interfejs sieciowy, bez konieczności posiadania jakichkolwiek uprawnień ani interakcji ze strony użytkownika. Skuteczne wykorzystanie podatności potencjalnie pozwala na wykonanie dowolnego kodu w kontekście zaatakowanego systemu.

Skutki

Atakujący może uzyskać pełną kontrolę nad podatnym systemem poprzez zdalne, nieautoryzowane wykonanie dowolnego kodu. Zagrożone jest poufność, integralność oraz dostępność systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Szczegółowe informacje o dostępnych aktualizacjach zawarte są w oficjalnym security advisory Bosch (bosch-2019-0403bt).

Kogo dotyczy

Bosch Video Management System (BVMS) w wersjach 9.0 i starszych, DIVAR IP 2000, 3000, 5000 i 7000, Video Recording Manager (VRM), Video Streaming Gateway (VSG), Configuration Manager, Building Integration System (BIS) z modułem Video Engine, Access Professional Edition (APE), Access Easy Controller (AEC), Bosch Video Client (BVC) oraz Video SDK (VSDK).