PT-2022-3485 · Schneider Electric · Ecostruxure Power Commission

CVE-2022-22731 · Publicado 2022-06-14 · Atualizado 2023-02-07

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do EcoStruxure Power Commission anteriores à V2.22

Descrição

O problema está relacionado a uma limitação inadequada do nome do caminho para um diretório restrito, também conhecida como vulnerabilidade de “traversal de caminho”. Isso poderia permitir que um invasor remoto criasse ou sobrescrevesse arquivos críticos usados para executar código, como programas ou bibliotecas, levando potencialmente à execução de código arbitrário.

Recomendações

Para versões anteriores à V2.22, atualize para a versão V2.22 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso a arquivos e diretórios críticos para minimizar o risco de exploração.

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

BDU:2022-04264

CVE-2022-22731

Produtos afetados

Ecostruxure Power Commission

Referências · 7

• https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2022-165-05_EcoStruxure_Power_Commission_Security_Notification.pdf · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2022-04264 · Nota de Segurança
• https://t.me/cibsecurity/57199 · Publicação no Telegram
• https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2022-165-05_EcoStruxure_Power_Commission_Security_Notification.pdf · Nota
• https://osv.dev/vulnerability/CVE-2022-22731 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-22731 · Nota de Segurança
• https://t.me/cvenotify/43164 · Publicação no Telegram