Argitalpen data: 2022/03/09

Garrantzia:Kritikoa

Kaltetutako baliabideak:

• Axeda agent , bertsio guztiak;
• Windowserako Axeda Desktop Server, bertsio guztiak;
• Philips:
  • Capsule Support Access Tool,
  • Respilink.

Azalpena:

CyberMDX eta Vedere Labs-eko Yuval Shoshani eta Elad Luz-ek 7 ahultasunen berri eman diote PTCri, 3 larritasun kritikokoak, 3 altukoak eta 1 ertainekoa. Horiek baliatuz erasotzaile batek sistemara sarbide osoa eskura lezake, kodea urrunetik exekutatu, konfigurazioa irakurri/aldatu, fitxategien sistemara irakurtzeko sarbidea eskuratu, erregistroko informaziora sartu edo zerbitzuaren ukapena eragin.

Konponbidea:

PTCk honakoa gomendatzen du:

• Axeda agentearen 6.9.2 build 1049 edo 6.9.3 build 1051 bertsiora eguneratzea, haren aurreko bertsioak exekutatzen direnean;
• Axeda agentea eta Axeda Desktop Server (ADS) konfiguratzea soilik entzun dezaten 127.0.0.1 host lokalaren interfazean. Informazio gehiago izateko PTCren CS360255 ezagutza artikulua irakurri;
• AxedaDesktop.ini fitxategian pasahitz bakarra ematea unitate bakoitzerako;
• ERemoteServer inoiz ez erabiltzea produkzioan;
• ERemoteServer fitxategia gailu anfitrioitik ezabatzen dela ziurtatzea;
• instalazio fitxategia ezabatzea, adibidez Gateway_vs2017-en-us-x64-pc-winnt-vc14-6.9.3-1051.msi;
• Windows edo Linux exekutatzen direnean, ERemoteServer-erako konexioak soilik konfiantzako host-etatik baimentzea eta gainerakoak blokeatzea;
• Windows sistema eragilea exekutatzen denean, ERemoteServer eta Axeda Builder-en arteko Localhost (127.0.0.1) komunikazioak konfiguratzea. Informazio gehiago izateko PTCren CS360255 ezagutza artikulua irakurri;
• Axeda-ren agentea konfiguratzea Axeda-ren Hedapen Utilitatean saioa hasteko beharrezkoa den autentifikazioaren informaziorako. Informazio gehiago izateko PTCren CS360255 ezagutza artikulua irakurri.

PTC-k gomendatzen du Axeda Desktop Server (ADS) 6.9 build 215 bertsiora eguneratzea.

loopback-only konfigurazioa 6.9.1 eta goragoko bertsioetan soilik dago eskuragarri.

Jarraian doazen esteketan eskura daiteke Axeda agentearen eta Axeda-ren mahai gaineko zerbitzariaren mendeko diren eta kaltetuta dauden produktuei buruzko informazio gehiago:

• Accuray;
• Bayer;
• Elekta;
• General Electric;
• Varian.

Xehetasuna:

• UltraVNC-ren instalazioan barneratutako pasahitzak erabiltzea balia lezake urruneko erasotzaile batek sistema eragile anfitrioiaren kontrol osoa eskuratzeko. Ahultasun horretarako CVE-2022-25246 identifikatzailea esleitu da.
• Funtzio kritiko batek duen autentifikazio gabezia balia lezake autentifikatu gabeko urruneko erasotzaile batek fitxategien sistemara sarbide osoa lortzeko eta kodea urrunetik exekutatzeko, autentifikaziorik gabe komandoak bidaliz ataka zehatz batera. Ahultasun horretarako CVE-2022-25247 identifikatzailea esleitu da.
• Funtzio kritiko batek duen autentifikazio gabezia balia lezake autentifikatu gabeko urruneko erasotzaile batek kaltetutako produktuen konfigurazioa irakurri eta aldatzeko, bereziki diseinatutako XML mezuak bidaliz ataka zehatz batera. Ahultasun horretarako CVE-2022-25251 identifikatzailea esleitu da.
• Larritasun altuko gainerako ahultasunetarako ondoko identifikatzaileak esleitu dira: CVE-2022-25249, CVE-2022-25250 eta CVE-2022-25252.
• Larritasun ertaineko ahultasunerako CVE-2022-25248 identifikatzailea erabili da.

Etiketak:Eguneraketa, Azpiegitura kritikoak, IoT, Osasuna, Ahultasuna