CVE-2021-36206

Johnson Controls CEVAS — obejście uwierzytelnienia przez SQL injection

CVSS 10.0v3.1pub. 2022-10-28upd. 2024-11-21

Wszystkie wersje oprogramowania CEVAS firmy Johnson Controls wcześniejsze niż 1.01.46 nie walidują wystarczająco danych wejściowych kontrolowanych przez użytkownika, co umożliwia obejście uwierzytelnienia i nieuprawniony dostęp do danych. Podatność uzyskała najwyższy możliwy wynik CVSS 10.0, co czyni ją podatnością krytyczną.

▸ Pokaż oryginał (EN)

All versions of CEVAS prior to 1.01.46 do not sufficiently validate user-controllable input and could allow a user to bypass authentication and retrieve data with specially crafted SQL queries.

🤖 Analiza AI

Jak działa

Atakujący może przesłać specjalnie spreparowane zapytania SQL jako dane wejściowe do aplikacji CEVAS. Ze względu na brak odpowiedniej walidacji tych danych, mechanizm uwierzytelnienia może zostać ominięty. W efekcie nieuprawniony użytkownik sieciowy może odczytać dane przechowywane w systemie bez konieczności posiadania prawidłowych poświadczeń.

Skutki

Atakujący zdalnie, bez uwierzytelnienia, może obejść mechanizmy kontroli dostępu i pobrać wrażliwe dane z systemu CEVAS. Wektor ataku jest sieciowy, nie wymaga interakcji użytkownika ani żadnych uprawnień.

Mitygacja

Należy zaktualizować oprogramowanie CEVAS do wersji 1.01.46 lub nowszej. Szczegółowe informacje dostępne są w poradniku bezpieczeństwa Johnson Controls oraz w komunikacie ICS-CERT ICSA-22-298-05.

Kogo dotyczy

Wszystkie wersje Johnson Controls CEVAS wcześniejsze niż 1.01.46.

Uwagi

Pomimo oznaczenia CWE jako XSS (CWE-79), opis techniczny podatności wskazuje jednoznacznie na mechanizm SQL injection umożliwiający obejście uwierzytelnienia. Rozbieżność między tagami a opisem może wynikać z błędu klasyfikacji w źródle.