All-Line Equipment Company Fuel-Boss

Tradução automática do conteúdo disponibilizado no feed de CISA. Original: https://www.cisa.gov/news-events/ics-advisories/icsa-26-239-02

Ver resumo CSAF. A exploração bem-sucedida dessas vulnerabilidades poderia permitir que atacantes executassem comandos ou códigos arbitrários remotamente nos sistemas afetados. As seguintes versões do All-Line Equipment Company Fuel-Boss são afetadas: Fuel-Boss V1 Standard >=| Fuel-Boss V1 Portal >=| Fuel-Boss V1 Master/Slave >=| Fuel-Boss V1 Backflush Systems >=|. CVSS 8.7. O Fuel-Boss é vulnerável ao University of Washington IMAP Toolkit 2007f em UNIX, usado em imap_open() no PHP e em outros produtos, permitindo iniciar um comando rsh por meio das funções imap_rimap e tcp_aopen sem impedir injeção de argumentos. Isso pode permitir que atacantes remotos executem comandos do sistema operacional e também pode envolver um estouro de buffer baseado na pilha. O Fuel-Boss também é afetado por uma vulnerabilidade do PHP FPM até a versão 7.1.5, que pode criar uma condição de execução remota de código. Há correções disponíveis para Fuel-Boss V1 Standard e V1 Portal; não há correção disponível para V1 Master/Slave e nenhuma correção está planejada para V1 Backflush Systems. O fornecedor recomenda retirar da Internet os produtos não corrigidos ou restringir, no roteador, os endereços IP que podem acessá-los.