PT-2020-4508 · Eclipse+2 · Mosquitto+2
Publicado
2020-11-03
·
Atualizado
2022-06-07
·
CVE-2020-13537
CVSS v3.1
9.3
Crítica
| Vetor | AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Moxa MXView versão 3.1.8
Descrição
O problema está relacionado a configurações de permissão padrão incorretas, permitindo que um invasor execute comandos arbitrários com privilégios de usuário do sistema, explorando uma vulnerabilidade de elevação de privilégios local nas permissões do sistema de arquivos do Moxa MXView. Isso pode ser feito adicionando código a um script ou substituindo um binário, aproveitando o MXViewService, que é executado como um usuário com autoridade NT SYSTEM e executa uma série de scripts Node.Js para iniciar funcionalidades adicionais do aplicativo, incluindo o executável mosquitto.
Recomendações
Para o Moxa MXView versão 3.1.8, considere restringir o acesso ao MXViewService e aos scripts Node.Js que ele executa para minimizar o risco de exploração. Além disso, revise as permissões do sistema de arquivos para garantir que estejam configuradas corretamente, a fim de impedir modificações não autorizadas. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Exploit
Incorrect Default Permissions
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Moxa Mxview
Node.Js
Mosquitto