CVE-2020-6770

Usługa BVMS Mobile Video Service (MVS) deserializuje dane przesyłane przez sieć bez uprzedniej weryfikacji ich źródła ani integralności. Atakujący może spreparować złośliwy payload i przesłać go do podatnego punktu końcowego usługi bez konieczności uwierzytelnienia. Proces deserializacji prowadzi do wykonania osadzonego w payloadzie kodu w kontekście działającej usługi na serwerze docelowym.

Atakujący może uzyskać pełną kontrolę nad systemem poprzez zdalne wykonanie dowolnego kodu (RCE) bez jakiegokolwiek uwierzytelnienia. Skutkiem może być przejęcie kontroli nad systemem zarządzania wideo, naruszenie poufności i integralności danych, a także zakłócenie dostępności systemu.

Należy zaktualizować Bosch BVMS do wersji wyższych niż wskazane progi podatności (powyżej 10.0.0.1225 dla gałęzi 10.0, powyżej 9.0.0.827 dla gałęzi 9.0, powyżej 8.0.0.329 dla gałęzi 8.0). Szczegółowe informacje i patche dostępne są w oficjalnym biuletynie bezpieczeństwa Bosch PSIRT: https://psirt.bosch.com/security-advisories/BOSCH-SA-885551-BT.html. Zaleca się również ograniczenie dostępu sieciowego do usługi MVS wyłącznie do zaufanych hostów.

Bosch BVMS w wersjach: 10.0 (do 10.0.0.1225 włącznie), 9.0 (do 9.0.0.827 włącznie), 8.0 (do 8.0.0.329 włącznie) oraz 7.5 i starsze. Urządzenia Bosch DIVAR IP 3000 i DIVAR IP 7000, jeśli zainstalowana jest podatna wersja BVMS.

Podatność dotyczy również urządzeń sprzętowych DIVAR IP 3000 i DIVAR IP 7000 w przypadku zainstalowania podatnej wersji oprogramowania BVMS. Podatność zgłoszona przez Bosch PSIRT jako biuletyn BOSCH-SA-885551-BT.