Advantech WebAccess xavfli zaifliklarni tuzatadi

Ba’zi yamalgan zaifliklar kodni o’zboshimchalik bilan bajarishga imkon berdi.

Trend Micro’ning Zero Day Initiative xavfsizlik tadqiqotchisi Mat Powell Advantech WebAccess’da bir nechta zaifliklarni aniqladi. Dastlabki to‘rttasi WebAccess’ning 8.3.1 va undan oldingi versiyalariga, qolgan ikkitasi esa 8.3.2 va undan oldingi versiyalariga ta’sir qiladi. Quyida keltirilgan barcha zaifliklar 8.3.3 versiyasida sotuvchi tomonidan tuzatildi. CVE-2018-14816: Kodni o‘zboshimchalik bilan bajarishga imkon beruvchi bir nechta stack asosidagi bufer toshib ketishi zaifliklari. Zaiflik CVSS v3 jiddiylik reytingini maksimal 10 balldan 9,8 ga oldi.

CVE-2018-14820: .dll komponentiga ta’sir qiladi va ishlov berish paytida ixtiyoriy fayllarni o’chirishga imkon beradi. Zaiflik CVSS v3 jiddiylik reytingini maksimal 10 balldan 7,5 ga oldi.

CVE-2018-14828: Ushbu zaiflik noto’g’ri imtiyozlarni boshqarish bilan bog’liq bo’lib, tajovuzkorga fayllarga kirish va tizim administratori imtiyozlari bilan amallarni bajarish imkonini beradi. Zaiflik CVSS v3 jiddiylik reytingini maksimal 10 balldan 7,8 ball bilan oldi.

CVE-2018-14806: Katalogni aylanib o’tish zaifligi kodni o’zboshimchalik bilan bajarishga imkon beradi. Zaiflik CVSS v3 jiddiylik reytingini maksimal 10 balldan 9,8 ga oldi.

CVE-2018-17908: Ushbu zaiflik noto’g’ri kirishni boshqarish bilan bog’liq. O’rnatish paytida dastur o’rnatuvchisi kirishni boshqarishni o’chirib qo’yadi va o’rnatish tugagandan so’ng uni qayta yoqmaydi. Bu tajovuzkorga yuqori imtiyozlarga ega bo’lgan ixtiyoriy kodni bajarishga imkon beradi. Zaiflik CVSS v3 jiddiylik reytingini maksimal 10 balldan 8,4 ga oldi.

CVE-2018-17910: Stek asosidagi bufer toshib ketishi zaifligi. Ilova foydalanuvchi kiritgan satrlar uzunligini to’g’ri tekshira olmadi, bu esa bufer toshib ketishiga va kodni masofadan bajarishga olib kelishi mumkin. Ushbu zaiflik CVSS v3 jiddiylik reytingini maksimal 10 balldan 7,8 ball bilan oldi.