施耐德工业软件严重缝隙安全公告

颁布功夫 2018-06-04

缝隙编号


CVE-2018-7784
CVE-2018-7785


缝隙级别


严重  厂商自评：： ：10   CVSS分值：： ：官方未评定
严重  厂商自评：： ：10   CVSS分值：： ：官方未评定


影响领域


受影响版本：： ：U.motion server 1.3.4及以下。。。


缝隙描述


施耐德2018年5月31日颁布安全布告通知客户，旗下产品U.motion builder存在严重的远程代码执行（RCE）缝隙影响，缝隙编号为CVE-2018-7784、、CVE-2018-7785，两枚缝隙的评分均为10分（满分）。。。截至此刻，施耐德官方已推出修复补丁。。。


U.motion 是一款自动化构建解决规划，用于全球贸易设施、、关键制作业和能源行业。。。U.motion Builder 工具能让用户为自己的 U.motion 设备创建项目。。。


缝隙细节


1.CVE-2018-7784：： ：


法式对提交的数据过滤不严，导致输入的数据被当作代码执行。。。通过这个缝隙，攻击者能够在存在缝隙的机械上远程执行肆意代码、、泄露信息或者引发法式报错。。。


2.CVE-2018-7785：： ：


远程号令注入缝隙，攻击者能够在无需认证的情况下，于存在缝隙的主机执行肆意远程号令。。。

 

解决措施


建议有关用户尽快到施耐德官方网站下载补丁修补缝隙。。。


下载地址：： ：


https://www.schneider-electric.com/en/download/document/Umotion_Server_update/

 

参考资料


https://www.schneider-electric.com/en/download/document/Umotion_Server_update/