不当限制XML BVMS外部实体引用

咨询信息

• 咨询ID:raybet雷竞技ios下载博世- sa - 506619 - bt
• CVE编号和CVSS v3.1分数:
  • cve - 2018 - 1285
    • 基础分数:9.8(关键)
• 发表:2022年3月16日
• 最后更新:2022年3月16日

总结

当BVMS low-priviledged用户安装在安装文件夹写访问,BVMS受到安全漏洞的影响,这可能允许XXE-based袭击接受attacker-controlled log4net配置文件的应用程序。

raybet雷竞技ios下载博世利率的脆弱性CVSS v3.1基础得分为5.7分(中)当BVMS安装在默认的位置。

raybet雷竞技ios下载博世建议客户至少遵循priviledge-approach BVMS安装用户权限的文件夹。

受影响的产品

• raybet雷竞技ios下载博世BVMS < = 9.0.0
• raybet雷竞技ios下载博世BVMS 10.0 < = 10.0.2
• raybet雷竞技ios下载博世BVMS 10.1 < =大家
• raybet雷竞技ios下载博世BVMS 11.0 < = 11.1.0
• raybet雷竞技ios下载迪沃尔IP 7000 R2
• raybet雷竞技ios下载迪沃尔5000 IP一体化
• raybet雷竞技ios下载迪沃尔7000 IP一体化

解决方案和移植

BVMS安装到一个目录,低权限的操作系统用户没有写权限

BVMS依赖其安装目录可信赖地防止由非管理员修改。当BVMS % ProgramFiles %安装在默认的位置,只能利用该漏洞攻击者已经possesess行政特权,都在操作系统之前实际的攻击。

raybet雷竞技ios下载博世强烈建议不要BVMS安装到一个目录,低权限的操作系统用户有写权限。

漏洞细节

cve - 2018 - 1285

CVE描述:Apache log4net 2.0.10之前版本没有禁用XML解析log4net配置文件时外部实体。这允许XXE-based攻击应用程序接受attacker-controlled log4net配置文件。

• 问题类型:
  • cwe - 611
• CVSS向量字符串:CVSS: 3.1 / AV: N /交流:L /公关:UI: N / N / S: U / C: H /我:H: H
  • 基础分数:9.8(关键)

讲话

安全更新信息

对指令(欧盟)2019/770和2019/771指令(欧盟)和他们的国家换位法,请注意:

是你的责任和/或下载安装任何安全更新由我们提供,例如维护产品和数据安全。如果你没有安装安全更新提供给你在一个合理的时间内,我们将不负责任何产品缺陷完全是因为缺乏这样的安全更新。

另外,我们有资格直接下载和/或安装安全更新不管你的设置。在这些情况下,我们将为您提供相关信息,如在这个安全咨询。

CVSS分数

脆弱性分类进行使用CVSS v3.1评分系统。CVSS环境得分是特定于每个客户的环境,应该定义为客户达到最终得分。

额外的资源

• [1]第三方供应商咨询:https://issues.apache.org/jira/browse/log4net - 575
• [2]CVE:https://nvd.nist.gov/vuln/detail/cve - 2018 - 1285

请联系博世PSIRT如果你有反馈,评论raybet雷竞技ios下载,或额外的信息关于这个漏洞:psirt@raybet雷竞技ios下载bosch.com。

修订历史

• 2022年3月16日:首次出版

附录

修改CVSS分数

CVSS基地评分:5.7(中)CVSS: 3.1 / AV: L /交流:L /公关:H / UI: N / S: C / C: L /我:L / L

受影响的产品

材料列表

BVMS

raybet雷竞技ios下载迪沃尔IP 7000 R2

raybet雷竞技ios下载迪沃尔5000 IP一体化

raybet雷竞技ios下载迪沃尔7000 IP一体化

同时IP一体化7000 R3