Inicio / Alerta Temprana / Avisos Sci / Múltiples vulnerabilidades en productos Compass y AcSELerator Architect de Schweitzer Engineering Laboratories, Inc.

Múltiples vulnerabilidades en productos Compass y AcSELerator Architect de Schweitzer Engineering Laboratories, Inc.

Fecha de publicación: 
11/07/2018
Importancia: 
4 - Alta
Recursos afectados: 
  • Compass, versión 3.0.5.1 y anteriores
  • AcSELerator Architect, versión 2.2.24.0 y anteriores (ICD package versión 2.38.0)
Descripción: 

El investigador Gjoko Krstic de Applied Risk ha identificado varias vulnerabilidades de tipo permisos inadecuados, restricción inadecuada en referencias a entidades y consumo de recursos no controladas en los productos Compass y AcSELerator Architect de Schweitzer Engineering Laboratories (SEL que podrían provocar la escalada de privilegios o denegaciones de servicio.

Solución: 
Detalle: 
  • Permisos por defecto incorrectos podrían permitir a un atacante el acceso completo a los directorios de Compass, la modificación o sobreescritura de ficheros en el directorio de instalación de Compass, obteniendo una escalada de privilegios y la ejecución de código malicioso. Se ha reservado el identificador CVE-2018-10604 para esta vulnerabilidad.
  • Restricciones inadecuadas a referencias a entidades XML externas (XXE) podrían permitir a unatacante aprovechar las entradas no verificadas facilitadas al parseador XML de AcSELerator Architect para conseguir la divulgación de datos arbitrarios, la ejecución de código arbitrario o denegaciones de servicio. Se ha reservado el identificador CVE-2018-10600 para esta vulnerabilidad.
  • Un consumo de recursos no controlado podría permitir a un atacante la utilización del cliente FTP de AcSELerator Architect para conectarse a un servidor malicioso, lo que podría causar un consumo del 100% de uso de CPU y llevar a una condición de denegación de servicio. El reinicio de la aplicación es requerido para restablecer el servicio. Se ha reservado el identificador CVE-2018-10608 para esta vulnerabilidad.

Encuesta valoración