PT-2021-4458 · Fatek Automation · Winproladder

Natnael Samson + 2 · Publicado 2021-10-14 · Atualizado 2021-10-21 · CVE-2021-38434

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

FATEK Automation WinProladder versões 3.30 e anteriores

Descrição

O problema está relacionado à validação inadequada dos dados fornecidos pelo usuário durante a análise de arquivos de projeto, o que pode resultar em uma extensão de sinal inesperada. Isso poderia permitir que um invasor remoto executasse código arbitrário fazendo com que um usuário abrisse um arquivo malicioso especialmente criado.

Recomendações

Para as versões 3.30 e anteriores, atualize para uma versão que valide adequadamente os dados fornecidos pelo usuário, a fim de evitar a extensão de sinal inesperada e a execução de código arbitrário.

Como solução temporária, considere restringir a abertura de arquivos de projeto provenientes de fontes não confiáveis para minimizar o risco de exploração.

Correção

Enumeração de Fraquezas

CWE-194

Identificadores relacionados

BDU:2021-05091

CVE-2021-38434

ZDI-21-1168

Produtos afetados

Winproladder

Referências · 8

• https://cybersecurity-help.cz/vdb/SB2021100805 · Nota
• https://us-cert.cisa.gov/ics/advisories/icsa-21-280-06 · Nota
• https://safe-surf.ru/upload/VULN/VULN-20211012.2.pdf · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2021-38434 · Nota de Segurança
• https://bdu.fstec.ru/vul/2021-05091 · Nota de Segurança
• https://t.me/cibsecurity/30682 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-38434 · Aviso do Fabricante
• https://zerodayinitiative.com/advisories/ZDI-21-1168 · Nota de Segurança