PT-2020-2730 · Schneider Electric · Ecostruxure Operator Terminal Expert
Publicado
2020-05-13
·
Atualizado
2020-06-17
·
CVE-2020-7493
CVSS v3.1
7.8
Alta
| Vetor | AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
EcoStruxure Operator Terminal Expert versões 3.1 Service Pack 1 e anteriores
Descrição
O problema está relacionado ao tratamento inadequado de arquivos VXDZ e a uma vulnerabilidade de injeção de SQL, o que poderia permitir que um invasor executasse código arbitrário usando um arquivo ou uma página da Web especialmente criados para esse fim. Isso pode levar à execução de código malicioso ao abrir um arquivo de projeto.
Recomendações
Para o EcoStruxure Operator Terminal Expert versões 3.1 Service Pack 1 e anteriores, atualize para uma versão que corrija o tratamento inadequado de arquivos VXDZ e a vulnerabilidade de injeção SQL para impedir a execução de código malicioso.
Como solução alternativa temporária, considere restringir o acesso a arquivos VXDZ e arquivos de projeto para minimizar o risco de exploração.
Correção
SQL injection
OS Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Ecostruxure Operator Terminal Expert