CVE-2020-9045

Mechanizm instalatora lub procesu aktualizacji zapisuje w pliku dziennika (install log) dane uwierzytelniające użytkownika przeprowadzającego instalację w postaci niezaszyfrowanej (CWE-312 — przechowywanie wrażliwych danych w postaci jawnej). Plik logu nie jest usuwany po zakończeniu procesu instalacji ani aktualizacji, przez co pozostaje dostępny na systemie plików. Atakujący z dostępem sieciowym i uprawnieniami niskiego poziomu (PR:L) może odczytać ten plik i pozyskać poświadczenia administratora instalacji.

Atakujący może uzyskać poświadczenia użytkownika, który przeprowadzał instalację — potencjalnie administratora systemu — co umożliwia przejęcie kontroli nad systemem zarządzania wideo lub kontroli dostępu, a także lateral movement w sieci (CVSS zakres: C:H, I:H, A:H w kontekście zmienionym).

Należy zastosować patche dostępne u producenta zgodnie z referencjami (Johnson Controls Security Advisories oraz ICS-CERT ICSA-20-142-01). Dodatkowo, do czasu zastosowania poprawki, zaleca się ręczne usunięcie pliku logu instalacyjnego po zakończeniu instalacji lub aktualizacji oraz ograniczenie dostępu do katalogu z logami instalatora wyłącznie do administratorów systemu.

Software House C•CURE 9000 w wersji 2.70 oraz American Dynamics victor Video Management System w wersji 5.2 (instalowane lub aktualizowane do tych wersji)

Podatność dotyczy systemów klasy ICS/OT (fizyczna kontrola dostępu i monitoring wideo). Poradnik producenta opublikowany przez ICS-CERT (ICSA-20-142-01) wskazuje na produkty stosowane w infrastrukturze krytycznej, co podwyższa rzeczywiste ryzyko biznesowe pomimo braku potwierdzonego exploitowania.