GE Communicator

Продукт
Разработчики: General Electric (GE)
Отрасли: Информационные технологии
Технологии: ITSM - Системы управления IT-службой

2019: Вшитые учетные данные и баги утечки данных

7 мая 2019 года стало известно, что в решении GE Communicator, используемом для конфигурации измерителей мощности General Electric, выявлен ряд уязвимостей, в том числе наличие вшитых учетных данных и баги утечки информации.

Проблемы предоставляют возможность получить права администратора на рабочей станции, использующей ПО GE Communicator, однако их эксплуатация требует либо наличия сетевого доступа к станции (и настройкам межсетевого экрана Windows), либо локального доступа с привилегиями обычного пользователя. Удаленная эксплуатация также возможна, но маловероятна, поскольку ПО, как правило, работает на устройствах, где службы не открыты напрямую.

В общей сложности в решении выявлено пять уязвимостей. Одна из них (CVE-2019-6548) связана с наличием двух аккаунтов с встроенными учетными данными, с помощью которых атакующий может перехватить контроль над базой данных приложения. Согласно предупреждению команды ICS-CERT, эксплуатация уязвимости может быть предотвращена, если установлены дефолтные настройки межсетевого экрана Windows.

Уязвимости CVE-2019-6546 и CVE-2019-6564 позволяют пользователю без прав администратора поместить вредоносный файл в папку установки и получить права администратора во время процесса инсталляции или обновления либо, внедрив специально сформированный файл в рабочую папку, манипулировать виджетами и элементами интерфейса.

Еще одна проблема (CVE-2019-6566) предоставляет возможность повысить привилегии путем замены деинсталлятора GE Communicator вредоносным файлом. Наконец, последний баг (CVE-2019-6544) затрагивает службу, работающую с системными привилегиями. Атакующий с низкими привилегиями может воспользоваться уязвимостью для выполнения определенных административных действий, например, запустить запланированные скрипты с привилегиями администратора.

Уязвимости затрагивают версии GE Communicator (компоненты Communicator Installer, Communicator Application, Communicator PostGreSQL, Communicator MeterManager, Communicator WISE Uninstaller) до 4.0.517. Исправленные версии продукта доступны на сайте производителя[1].

Примечания



Распределение вендоров по количеству проектов внедрений (систем, проектов) с учётом партнёров

За всю историю
2016 год
2017 год
2018 год
Текущий год

  Microsoft (4, 14)
  Comindware (Колловэар) (1, 9)
  Алан-ИТ (1, 7)
  Naumen (Наумен консалтинг) (3, 6)
  Riverbed Technology (3, 3)
  Другие (24, 27)

  Naumen (Наумен консалтинг) (1, 8)
  Microsoft (3, 3)
  1С-Рарус (1, 2)
  Riverbed Technology (1, 2)
  ALP Group (КТ-АЛП, АЛП-ИС) (1, 2)
  Другие (13, 13)

Распределение базовых систем по количеству проектов, включая партнерские решения

За всю историю
2016 год
2017 год
2018 год
Текущий год