В промышленных продуктах Schneider Electric выявлены опасные уязвимости
Эксплуатация уязвимостей в решениях Floating License Manager и IGSS позволяет обойти лицензию или вызвать отказ в обслуживании системы.
В продуктах Schneider Electric Floating License Manager и Schneider Electric Interactive Graphical SCADA System (IGSS) были обнаружены в общей сложности пять опасных уязвимостей, успешная эксплуатация которых может привести к отказу в обслуживании либо возможности выполнения произвольного кода или позволяет обойти лицензию на легальное использование продукта. Решение Floating License Manager входит в состав многих популярных продуктов Schneider Electric, используемых в критически важных отраслях. В ПО (версия 2.3.0.0 и младше) были найдены четыре уязвимости (CVE-2018-20031, CVE-2018-20032, CVE-2018-20033 и CVE-2018-20034), предоставляющие возможность отключить демон vendor. Производитель уже выпустил исправленную версию приложения 2.3.1.0.
Степень опасности уязвимостей CVE-2018-20031, CVE-2018-20032 и CVE-2018-20034 оценивается в 7,5 балла по шкале CVSS v3, а CVE-2018-20033 — 9,8 балла.
В системе диспетчерского управления IGSS обнаружена уязвимость (CVE-2019-6827), позволяющая вызвать сбой в работе программного обеспечения или выполнить код. Баг может быть проэксплуатирован при обработке приложением специально сформированного проект файла. Уязвимость затрагивает версии 14 и ранее. Исправленные версии 13.0.0.19140 и 14.0.0.19120 уже доступны на сайте производителя. Система используется для контроля и наблюдение во множестве отраслей промышленности, в системах управления транспортом, в судостроении, системах управления зданиями.
