CVE-2020-16096

Gallagher Command Centre — nieautoryzowany dostęp do wrażliwych danych replikacji

CVSS 9.9v3.1pub. 2020-09-15upd. 2024-11-21

W systemie Gallagher Command Centre każde konto operatora uzyskuje dostęp do wszystkich danych, które byłyby replikowane w środowisku wieloserwerowym. Może to obejmować dane uwierzytelniające systemów DVR w postaci zwykłego tekstu oraz dane kart dostępu fizycznego, systemów alarmowych i perymetrycznych.

▸ Pokaż oryginał (EN)

In Gallagher Command Centre versions 8.10 prior to 8.10.1134(MR4), 8.00 prior to 8.00.1161(MR5), 7.90 prior to 7.90.991(MR5), 7.80 prior to 7.80.960(MR2), 7.70 and earlier, any operator account has access to all data that would be replicated if the system were to be (or is) attached to a multi-server environment. This can include plain text credentials for DVR systems and card details used for physical access/alarm/perimeter components.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej kontroli dostępu (CWE-285) — każdy zalogowany operator, niezależnie od przypisanych uprawnień, ma dostęp do pełnego zestawu danych przeznaczonych do replikacji między serwerami. Dane te nie są odpowiednio izolowane ani ograniczane do kontekstu uprawnień konkretnego konta. W efekcie operator z minimalnymi uprawnieniami może odczytać poufne informacje przechowywane w systemie, w tym hasła w postaci jawnej.

Skutki

Atakujący posiadający dowolne konto operatora może uzyskać dostęp do danych uwierzytelniających systemów DVR (w postaci zwykłego tekstu) oraz danych kart stosowanych do kontroli dostępu fizycznego, alarmów i zabezpieczeń perymetrycznych, co może prowadzić do kompromitacji infrastruktury bezpieczeństwa fizycznego całej organizacji.

Mitygacja

Należy zaktualizować Gallagher Command Centre do wersji 8.10.1134(MR4), 8.00.1161(MR5), 7.90.991(MR5) lub 7.80.960(MR2) odpowiednio dla posiadanej gałęzi. Szczegóły dostępne w referencjach producenta: https://security.gallagher.com/Security-Advisories/CVE-2020-16096

Kogo dotyczy

Gallagher Command Centre w wersjach: 8.10 przed 8.10.1134(MR4), 8.00 przed 8.00.1161(MR5), 7.90 przed 7.90.991(MR5), 7.80 przed 7.80.960(MR2) oraz 7.70 i wcześniejszych.

CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Gallagher Command Centre
APP
Gallagher
7.80.9607.90.9918.00.11618.10.11348.10 – 8.10.1134 (bez)8.00 – 8.00.1161 (bez)7.90 – 7.90.991 (bez)7.80 – 7.80.960 (bez)

🔵