Siemens Automation License Manager muhim zaifliklarni tuzatadi

Zaifliklardan biri kodni masofadan turib bajarishga imkon beradi.

Siemens oʻzining Automation License Manager dasturida ikkita jiddiy zaiflikni tuzatdi. CVE-2018-11455 kataloglarni aylanib oʻtish zaifligidir. Bu tajovuzkorga oʻzboshimchalik bilan fayllarni masofadan koʻchirish va oxir-oqibat kodni bajarish orqali tizimni buzish imkonini beradi. Hujum maqsadli qurilmaga tarmoq ulanishini talab qiladi. Hech qanday maxsus imtiyozlar yoki shartlar talab qilinmaydi. Hujum faqat foydalanuvchi bilan oʻzaro taʼsir orqali amalga oshirilishi mumkin. Zaiflik CVSS v3 boʻyicha maksimal 10 balldan 8,8 ball oldi.

CVE-2018-11455 dan foydalanib, tajovuzkor jabrlanuvchining kompyuterida asosiy tarmoq tekshiruvini amalga oshirishi mumkin. Maxsus tayyorlangan tarmoq paketlarini yuborish orqali xaker boshqa masofaviy tizimda ochiq tarmoq portlarining mavjudligini aniqlashi mumkin.

Zaiflikdan foydalanish uchun maqsadli qurilma tarmoqqa ulangan bo’lishi kerak. Yuqori imtiyozlar ham, foydalanuvchi bilan o’zaro aloqa ham talab qilinmaydi. CVSS v3 jiddiylik reyting tizimiga ko’ra, zaiflik maksimal 10 balldan 5,3 ball oldi.

Muammo quyidagi mahsulotlarga ta’sir qiladi:

Avtomatlashtirish litsenziyasi menejeri 5: 5.3.4.4 gacha bo’lgan barcha versiyalar;

Automation License Manager 6: 6.0.1 dan oldingi barcha versiyalar (faqat CVE-2018-11455).