AVEVA两个严重缝隙安全公告

颁布功夫 2018-11-09

缝隙编号和级别


CVE编号：：CVE-2018-17916 ，，危险级别：：严重 ，，CVSS分值：：厂商自评 9.8 ，，官方未评定

CVE编号：：CVE-2018-17914 ，，危险级别：：严重 ，，CVSS分值：：厂商自评 9.8 ，，官方未评定


影响版本


InduSoft Web Studio versions  <=  1 SP2

InTouch Edge HMI (formerly InTouch Machine Edition) versions  <=  2017 SP2


缝隙概述


近日 ，，AVEVA颁布安全公告称修复了2个工业软件中的高危缝隙。�！！！�
AVEVA英国推算机软件商。�！！！Ｎ齑秃Ｑ蠊こ獭�、石油和天然气、、造纸、、电力、、化工和制药等工业领域提供全性命周期解决规划及服务。�！！！�
CVE-2018-17916是一个栈溢出缝隙 ，，攻击者能够发送一个特制的数据包来触发该缝隙 ，，导致在未授权的情况下远程执行代码。�！！！�
CVE-2018-17914源于一个配置文件中的空密码问题 ，，一个未授权的攻击者能够利用受影响软件的一样权限来远程执行代码。�！！！�

OG东方厅·(中国大陆)


缝隙验证


暂无POC/EXP


修复建议


AVEVA官方已经颁布了新版本修复了上述缝隙 ，，请受影响的用户尽快更新进行防护。�！！！�
新版本下载地址如下：：
InduSoft Web Studio v8.1 SP2
http://download.indusoft.com/81.2.0/IWS81.2.0.zip
InTouch Edge HMI (formerly InTouch Machine Edition)

https://softwaresupportsp.schneider-electric.com/#/producthub/details?id=5223


参考链接


https://sw.aveva.com/hubfs/assets-2018/pdf/security-bulletin/SecurityBulletin_LFSec130.pdf