PT-2021-4661 · Fatek · Fatek Automation Communication Server

Nattisamson · Publicado 2021-06-11 · Atualizado 2021-10-20 · CVE-2021-38432

Positive Technologies (AI Summary) · Pt

CVSS v3.1

10

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

FATEK Automation Communication Server, versões 1.13 e anteriores

Descrição

O problema está relacionado a uma condição de estouro de buffer na pilha, causada pela falta de validação adequada dos dados fornecidos pelo usuário. Isso poderia permitir que um invasor executasse código remotamente ao enviar solicitações especialmente criadas, resultando potencialmente na execução remota de código ou em negação de serviço.

Recomendações

Para as versões 1.13 e anteriores, atualize para uma versão que valide adequadamente os dados fornecidos pelo usuário para evitar condições de estouro de buffer baseadas na pilha.

Como solução temporária, considere restringir o acesso ao servidor para minimizar o risco de exploração até que um patch esteja disponível.

Correção

Stack Overflow

Enumeração de Fraquezas

CWE-121

Identificadores relacionados

BDU:2021-05354

CVE-2021-38432

ZDI-21-1164

Produtos afetados

Fatek Automation Communication Server

Referências · 8

• https://cybersecurity-help.cz/vdb/SB2021100804 · Nota
• https://zerodayinitiative.com/advisories/ZDI-21-1164 · Nota de Segurança
• https://t.me/cibsecurity/30642 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-38432 · Aviso do Fabricante
• https://vuldb.com/?id.184475 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-38432 · Nota de Segurança
• https://bdu.fstec.ru/vul/2021-05354 · Nota de Segurança
• https://us-cert.cisa.gov/ics/advisories/icsa-21-280-07 · Nota