Basque Cyber Security Centre - Zibersegurtasun Euskal Zentroa

Kodearen ahultasuna Qualcomm Life-ren Capsule Datacaptor Terminal Server-en

Argitalpen data: 2018/08/29

Garrantzia: Kritikoa

Kaltetutako baliabideak:

Capsule Datacaptor Terminal Server-en (DTS) ondoko bertsioak osasun gailu baten informazio sistema bateko parte dira eta kaltetuta daude:

·         Allegro RomPager barneratutako web zerbitzarian dauden Capsule DTSren bertsio guztiak, 4.01etik 4.34ra bitartean.

Azalpena:

CyberMDXeko Elad Luz-ek kodearen ahultasun erako ahultasun honen berri eman du. Ahultasun hori arrakastaz baliatuz gero urruneko erasotzaile batek kodea exekuta lezake baimenik gabe, gailuan administratzaile pribilegioak eskuratzearren.

Konponbidea:

Capsule Technologies-ek DTSren Single Board bertsioan ahultasuna konpontzen duen firmwarearen eguneraketa bat argitaratu du, originalki 2009an kaleratua. Capsule Technologies-ek arren eskatzen die DTSren Single Board bertsioa duten erabiltzaile guztiei Capsule-ren bezeroaren webgunetik firmwarea deskarga dezaten eta kaltetutako gailuetan ezar dezaten partxeatze prozedura jarraituz. Bezeroaren webgunerako sarbidea hemen aurki daiteke:
https://customers.capsuletech.com/

Arazo teknikoak direla-eta firmwarearen eguneraketak ahultasuna soilik konpontzen du Single Board bertsioetan, eta ez beste hauetan:

  • Dual Board
  • Capsule Digi Connect ES converted to DTS
  • Capsule Digi Connect

Capsulek hiru DTS bertsioetakoren bat duten erabiltzaileei gomendatzen die barneratutako web zerbitzaria desgaitzea ahultasun honen eragina arintzearren. Web zerbitzaria soilik erabiltzen da hasierako ezarpenaren konfiguraziorako, eta ez da beharrezkoa gailuaren urruneko laguntza tekniko iraunkorrerako.

Xehetasuna:

Ahultasun hau baliatuz erasotzaile batek HTTP cookie bat bidal lezake web administrazioaren atarira, gailuaren memorian datu arbitrarioak idazteko. Horrekin urrunetik kodea exekutatu ahal izatea gaitu liteke. Ahultasun horretarako CVE-2014-9222 identifikatzailea erabili da.

Etiketak: Eguneraketa, Ahultasuna