AVEVA两个严重误差清静通告

宣布时间 2018-11-09

误差编号和级别


CVE编号：CVE-2018-17916，危险级别：严重，CVSS分值：厂商自评 9.8，官方未评定

CVE编号：CVE-2018-17914，危险级别：严重，CVSS分值：厂商自评 9.8，官方未评定


影响版本


InduSoft Web Studio versions  <=  1 SP2

InTouch Edge HMI (formerly InTouch Machine Edition) versions  <=  2017 SP2


误差概述


克日，AVEVA宣布清静通告称修复了2个工业软件中的高危误差。
AVEVA英国盘算机软件商。为造船和海洋工程、石油和自然气、造纸、电力、化工和制药等工业领域提供全生命周期解决计划及服务。
CVE-2018-17916是一个栈溢出误差，攻击者可以发送一个特制的数据包来触发该误差，导致在未授权的情形下远程执行代码。
CVE-2018-17914源于一个设置文件中的空密码问题，一个未授权的攻击者可以使用受影响软件的相同权限来远程执行代码。

尊龙凯时·(中国区)人生就是搏!


误差验证


暂无POC/EXP


修复建议


AVEVA官方已经宣布了新版本修复了上述误差，请受影响的用户尽快更新举行防护。
新版本下载地点如下：
InduSoft Web Studio v8.1 SP2
http://download.indusoft.com/81.2.0/IWS81.2.0.zip
InTouch Edge HMI (formerly InTouch Machine Edition)

https://softwaresupportsp.schneider-electric.com/#/producthub/details?id=5223


参考链接


https://sw.aveva.com/hubfs/assets-2018/pdf/security-bulletin/SecurityBulletin_LFSec130.pdf