Varias vulnerabilidades en la plataforma AggreGate de Tibbo
Fecha de publicación:
20/11/2015
Importancia:
5 -
Crítica
Recursos afectados:
Los productos afectados son los siguientes:
- Plataforma AggreGate Versión 5.21.02 y anteriores
Descripción:
El grupo Zero Day Initiative (ZDI) de HP ha reportado dos vulnerabilidades que afectan al paquete SCADA/HMI AggreGate de Tibbo.
Solución:
Tibbo ha publicado la versión 5.30.06 de la plataforma AggreGate para mitigar las vulnerabilidades.
Detalle:
Ambas vulnerabilidades publicadas afectan a la subida de ficheros, que se hace de forma no restringida para cualquier tipo de fichero.
La primera de ellas, para la que se ha reservado el código CVE-2015-7912, permite subir ficheros con código Java a través de un servlet, lo que podría ocasionar la ejecución de código o comandos arbitrarios. Esta vulnerabilidad puede ser explotada de forma remota.
Además se ha reportado otra vulnerabilidad local por la cual un servicio administrativo puede ser contactado por cualquier usuario local para publicar clases arbitrarias.Escribiendo ficheros Java en la ruta de la aplicación, es posible ejecutar código y comandos arbitrarios. Se ha reservado el código CVE-2015-7913 para esta vulnerabilidad.
Referencias:
Etiquetas: