PT-2025-16856 · Unknown · Telecontrol Server Basic
Publicado
2025-04-16
·
Atualizado
2025-04-16
·
CVE-2025-32855
CVSS v2.0
9.0
Alta
| Vetor | AV:N/AC:L/Au:S/C:C/I:C/A:C |
Nome do Software Vulnerável e Versões Afetadas
Versões do TeleControl Server Basic anteriores à 3.1.2.2
Descrição
A falha permite que um atacante remoto autenticado contorne controles de autorização, leia e escreva no banco de dados da aplicação e execute código com permissões de "NT AUTHORITYNetworkService" por meio de injeção de SQL no método
UnlockOpcSettings. Um ataque bem-sucedido requer acesso à porta 8000 em um sistema onde uma versão vulnerável da aplicação esteja em execução.Recomendações
Para versões anteriores à 3.1.2.2, atualize para a versão 3.1.2.2 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à porta 8000 para minimizar o risco de exploração. Adicionalmente, limitar o uso do método
UnlockOpcSettings até que um patch seja aplicado pode ajudar a mitigar o risco.Correção
SQL injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Telecontrol Server Basic