Siemens SINEMA 远程连接服务器多个漏洞 (SSA-884497)
critical Nessus 插件 ID 131402
语言：
简介
Siemens SINEMA 远程连接服务器受到多个漏洞影响。描述
远程主机上运行的 Siemens SINEMA 远程连接服务器受到多个漏洞的影响：- Web 界面无法阻止密码猜测攻击。拥有易受功能软件的网络访问权限的攻击者可利用此漏洞，无需特权和用户交互。利用此漏洞可获得对 Web 界面的完全访问权限。(CVE-2019-13918)
- 非特权用户也可以访问某些本应仅限特权用户访问的页面。拥有网络访问权限和 web 界面有效凭据的攻击者可利用此漏洞。无需用户交互。利用此漏洞可让攻击者访问本应无法读取的信息。受此漏洞影响的信息不包括密码。
(CVE-2019-13919)
- Web 应用程序中的某些部分无法抵御跨站请求伪造 (CSRF) 的攻击。能够触发已登录用户向应用发送请求的攻击者可利用此漏洞。利用此漏洞允许切换用户或设备的连接状态。
(CVE-2019-13920)
- 拥有管理特权的攻击者可获得已连接设备的密码哈希。拥有对 SINEMA 远程连接服务器的网络访问权限和管理特权的攻击者可利用此安全漏洞。(CVE-2019-13922)
解决方案
更新至 V2.0 SP1 或更高版本。另见
插件详情
严重性: Critical
ID: 131402
文件名: scada_siemens_sinemarc_ssa-884497.nbin
版本: 1.54
类型: remote
系列: SCADA
发布时间: 2019/12/2
最近更新时间: 2023/5/31
风险信息
VPR
风险因素: Medium
分数: 5.9
CVSS v2
风险因素: High
基本分数: 7.5
时间分数: 5.5
矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
时间矢量: CVSS2#E:U/RL:OF/RC:C
CVSS 分数来源: CVE-2019-13918
CVSS v3
风险因素: Critical
基本分数: 9.8
时间分数: 8.5
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
漏洞信息
CPE: x-cpe:/a:siemens:sinema_remote_connect_server
必需的 KB 项: installed_sw/Siemens SINEMA Remote Connect Server
易利用性: No known exploits are available
补丁发布日期: 2019/9/10
漏洞发布日期: 2019/9/10
参考资料信息
CVE: CVE-2019-13918, CVE-2019-13919, CVE-2019-13920, CVE-2019-13922
ICSA: 19-260-02