施耐德工业软件严沉缝隙安全公告

颁布功夫 2018-06-04

缝隙编号


CVE-2018-7784
CVE-2018-7785


缝隙级别


严沉  厂商自评：10   CVSS分值：官方未评定
严沉  厂商自评：10   CVSS分值：官方未评定


影响领域


受影响版本：U.motion server 1.3.4及以下。


缝霞述


施耐德2018年5月31日颁布安全布告通知客户，旗下产品U.motion builder存在严沉的远程代码执行（RCE）缝隙影响，缝隙编号为CVE-2018-7784、CVE-2018-7785，两枚缝隙的评分均为10分（满分）。截至此刻，施耐德官方已推出建复补丁。


U.motion 是一款自动化构建解决规划，用于全球贸易设施、关键造作业和能源行业。U.motion Builder 工具能让用户为自己的 U.motion 设备创建项目。


缝隙细节


1.CVE-2018-7784：


法式对提交的数据过滤不严，导致输入的数据被当作代码执行。通过这个缝隙，攻击者能够在存在缝隙的机械上远程执行肆意代码、泄露信息或者引发法式报错。


2.CVE-2018-7785：


远程号令注入缝隙，攻击者能够在无需认证的情况下，于存在缝隙的主机执行肆意远程号令。

 

解决措施


建议有关用户尽快到施耐德官方网站下载补丁建补缝隙。


下载地址：


https://www.schneider-electric.com/en/download/document/Umotion_Server_update/

 

参考资料


https://www.schneider-electric.com/en/download/document/Umotion_Server_update/