Cookien konfigurazioa

Cookie teknikoak

Aktiboak
Ikusi Cookiak

Erabiltzaileari web-orriaren bidez nabigatzeko eta bertan dauden aukerak edo zerbitzuak erabiltzeko aukera ematen diotenak dira, editoreak web-orriaren kudeaketa eta operatiboa ahalbidetzeko eta haren funtzioak eta zerbitzuak gaitzeko erabiltzen dituenak barne.

Cookie analitikoak

Ez aktiboak
Ikusi Cookiak

Webgunearen erabiltzaileen portaeraren jarraipena eta azterketa egiteko aukera ematen diote horien arduradunari. Cookie mota horien bidez bildutako informazioa webgunearen jarduera neurtzeko erabiltzen da, zerbitzuaren erabiltzaileek egiten dituzten erabilera-datuen analisiaren arabera hobekuntzak sartzeko

COOKIE OHARRA

SPRIren jabetzako web orri honek bere cookieak eta hirugarrengoenak erabiltzen ditu nabigatzea ahalbidetzeko, informazio estatistikoa osatzeko, zure nabigazio-ohiturak aztertzeko eta horien araberako publizitatea zuri igortzeko xedez. Cookie guztien erabilera baimentzeko, Onartu aukeran klik egin dezakezu; bestela, zein cookie-mota onartu eta zeini uko egingo diozun hauta dezakezu Cookieak Konfiguratu aukeraren bitartez. Halaber, informazio gehiago jaso dezakezu gure Cookie Politikan.Cookieak KonfiguratuOnartu

Basque Cyber Security Centre - Zibersegurtasun Euskal Zentroa

DLL bahiketa Bosch produktuetan

Argitalpen data: 2021/03/25

Garrantzia:  Handia 

Kaltetutako baliabideak: 

  • Bosch BVMS, 9.0.0 bertsioaren aurrekoa;
  • Bosch BVMS 10.0.2 bertsioaren aurreko 10.0 bertsioak;
  • Bosch BVMS 10.1.1 bertsioaren aurreko 10.1 bertsioak;
  • Bosch BVMS Viewer, 9.0.0 bertsioaren aurrekoa;
  • Bosch BVMS Viewer, 10.0.2 bertsioaren aurreko 10.0 bertsioak;
  • Bosch BVMS Viewer, anteriores a la 10.1.1 bertsioaren aurreko 10.1 bertsioak;
  • Bosch Configuration Manager, 7.21.0078 bertsioa edo aurrekoa;
  • Bosch DIVAR IP 7000 R2, konfigurazioa: ?using vulnerable BVMS version';
  • Bosch DIVAR IP all-in-one 5000, konfigurazioa: ?using vulnerable BVMS version';
  • Bosch DIVAR IP all-in-one 7000, konfigurazioa: ?using vulnerable BVMS version';
  • Bosch IP Helper, 1.00.0008 bertsioa edo aurrekoa;
  • Bosch Monitor Wall, 10.00.0164 bertsioa edo aurrekoa;
  • Bosch Video Client, 1.7.6.079 bertsioa edo aurrekoa;
  • Bosch Video Recording Manager, 3.71 bertsioa eta aurrekoak;
  • Bosch Video Recording Manager, 3.81.0064 bertsioa edo aurreko 3.81 bertsioak;
  • Bosch Video Recording Manager, 3.82.0055 bertsioa edo aurreko 3.82 bertsioak;
  • Bosch Video Streaming Gateway, 6.45.10 bertsioa edo aurrekoa.

Azalpena:

Boschen hainbat software aplikazio ahultasun baten mende daude. Horren bidez, erasotzaile batek kode gehigarria kargatu lezake DLL gisa; hori aplikazio ahularen abiaraztean exekutatzen da, eta erabiltzailearen testuinguruan

Konponbidea: 

  • Boschen software aplikazioak bertsio ez ahul batera eguneratzea gomendatzen da.
  • Ez badago eguneratzerik eskuragarri, erabiltzaileei arintze-neurri eta konponbide hauekin jarraitzea gomendatzen da: 
    • Instalatu gabeko softwarea (esaterako, instalatzaileak eta aplikazio eramangarriak eurak) ez da beste erabiltzaile batzuek sarbide duten direktorioetatik exekutatu behar, edo maltzurrak izan litezkeen DLLak dauden direktorioetatik (esaterako, "deskargen" berezko direktorioa).
    • Ez dago software mota horretarako ibilbide segururik, beraz, eragin potentziala instalatzaile bat edo aplikazio eramangarri bat kargatzen diren direktorioaren araberakoa da ("AppDir"): 
      • Berezko "deskarga" direktorioa: Bitar maltzurrak erabiltzaile baten berezko deskarga karpetan egon litezke, horren aurretiko interakzioa dela eta (esaterako, deskarga-lotura maltzur batean klik eginez, drive-by-download bat exekutatzea lortzen duen leku bat bisitatuz), eta exekutagarri batek karga litzake. Arintze neurri moduan, erabiltzaileei gomendatzen zaie exekutagarriak deskarga direktorioetatik beste direktorio batzuetara mugitzea, beste erabiltzaile batzuek sarbiderik ez dutena, eta bertatik soilik hastea exekutagarriak. Orokorrean, berezko deskarga direktoriotik zuzenean instalazioak edota aplikazioak exekutatzea ez da gomendagarria, ezta nabigatzaile batean eskatutako deskarga-eskaerak ere.Pribilegio gutxiko erabiltzaile batzuek sarbidea duten direktorio batzuk: Direktorio hori ez du softwareak berak sortu (esaterako, aldi baterako direktorio bat instalazio-denboran), babestu gabeko instalazio direktorio bat da, beraz, sistema ahularen konfigurazioarena. Pribilegio gutxiko erabiltzaileek idazketa baimenak dituzten direktorioetan exekutagarriak ez jartzeko gomendioa egiten da, bereziki. Kontuan izan erabiltzaileak C: eremuan sortutako direktorioek (esaterako, C: /NireKarpetaBerria) beste erabiltzaile batzuentzako idazketa baimenak jasoko lituzketela oinordetzan, beraz, ez da batere gomendagarria.

Xehetasuna: 

  • Kontrolatu gabeko bilaketa-ibilbide baten bidez DLL bat kargatzearen ondorioz, erasotzaile batek kode arbitrarioa exekuta lezake biktimaren sisteman. Horretarako, biktima engainatu behar da IP Helper aplikazio eramangarriaren aplikazio-direktorio berean DLL maltzur bat kokatzeko. Ahultasun horretarako, CVE-2020-6771 identifikatzailea esleitu da.
  • Kontrolatu gabeko bilaketa-ibilbide baten bidez DLL bat kargatzearen ondorioz, erasotzaile batek kode arbitrarioa exekuta lezake biktimaren sisteman. Horrek instalatzaileari zein instalatutako aplikazioari eragiten die. Ahultasun horretarako, CVE-2020-6785 identifikatzailea esleitu da.
  • Kontrolatu gabeko bilaketa-ibilbide baten bidez DLL bat kargatzearen ondorioz, erasotzaile batek kode arbitrarioa exekuta lezake biktimaren sisteman. Horretarako, biktima engainatu egin behar da instalatzailea hasten den direktorio berean DLL maltzur bat kokatzeko. Ahultasun horietarako CVE-2020-6786, CVE-2020-6787, CVE-2020-6788 eta CVE-2020-6789 identifikatzaileak esleitu dira.
  • Kontrolatu gabeko bilaketa-ibilbide baten bidez exekutagarri bati deitzearen ondorioz, erasotzaile batek kode arbitrarioa exekuta lezake biktimaren sisteman. Horretarako, biktima engainatu egin behar da instalatzailea hasten den direktorio berean .exe maltzur bat kokatzeko. Ahultasun horretarako, CVE-2020-6790 identifikatzailea esleitu da.

Etiketak: Eguneratzea, Azpiegitura kritikoak, Ahultasuna.