PT-2021-17303 · Pelco · Pelco Digital Sentry Server
Publicado
2021-02-11
·
Atualizado
2021-02-18
·
CVE-2021-27184
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
**Nome do software vulnerável e versões afetadas:
Pelco Digital Sentry Server versão 7.18.72.11464
Descrição:
O problema está relacionado a uma vulnerabilidade de entidade externa XML, que pode ser explorada por meio da técnica de entidades de parâmetro DTD. Isso resulta na divulgação e recuperação de dados arbitrários no nó afetado por meio de um ataque fora de banda (OOB). A vulnerabilidade é acionada quando a entrada passada para o analisador XML não é sanitizada durante a análise do arquivo ControlPointCacheShare.xml no diretório %APPDATA%Pelco, quando o DSControlPoint.exe é executado.
Recomendações:
Para o Pelco Digital Sentry Server versão 7.18.72.11464, como solução temporária, considere desativar a execução do DSControlPoint.exe até que um patch esteja disponível. Restrinja o acesso ao arquivo ControlPointCacheShare.xml para minimizar o risco de exploração. Evite usar entradas não sanitizadas ao analisar arquivos XML para impedir o acionamento da vulnerabilidade. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Exploit
XXE
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Pelco Digital Sentry Server