EZAutomation多个缓冲区谬误缝隙安全公告

颁布功夫 2019-09-06

●缝隙编号和级别


CVE编号：CVE-2019-13522，危险级别：高危，CVSS分值：7.8

CVE编号：CVE-2019-13518，危险级别：高危，CVSS分值：7.8


●影响版本


受影响的版本


CVE-2019-13522

EZ PLC Editor Versions 1.8.41 and prior


CVE-2019-13518

EZ Touch Editor Versions 2.1.0 and prior


●缝隙概述


EZAutomation是AVG旗下的一个系列。AVG是一家做工业触摸屏和可编程节造器的美国电气公司。EZAutomation系列下有PLC产品，触摸屏，编码器，跑马灯，操作界面各类高性价产品。近日EZAutomation颁布两个缓冲区谬误缝隙如下：


CVE-2019-13522

EZAutomation EZ PLC Editor是美国EZAutomation公司的一套PLC（可编程逻辑节造器）编程软件。EZAutomation EZ PLC Editor 1.8.41及之前版本中存在缓冲区谬误缝隙。攻击者可借助特造的项目文件利用该缝隙败坏内存并以该利用法式权限执行代码。


CVE-2019-13518

EZAutomation EZ Touch Editor是美国EZAutomation公司的一套HMI（人机界面）编程软件。EZAutomation EZ Touch Editor 2.1.0及之前版本中存在缓冲区谬误缝隙。攻击者可借助特造的项目文件利用该缝隙以该利用法式的权限执行代码。


●缝隙验证


暂无POC/EXP。


●建复建议


目前厂商已颁布升级补丁以建复缝隙，下载链接：https://www.ezautomation.net/access.php。


●参考链接


https://www.us-cert.gov/ics/advisories/icsa-19-246-01

https://www.us-cert.gov/ics/advisories/icsa-19-246-02