Un nouvel ensemble de vulnérabilités de la chaîne d'approvisionnement a été découvert affectant l'agent Axeda de PTC, affectant divers fournisseurs dans une gamme d'industries, y compris les soins de santé et les finances. Axeda offre une base évolutive pour créer et déployer des applications d'entreprise pour les produits connectés, à la fois filaire et sans fil, selon la propre description de l'entreprise.
Accès:7 Vulnérabilités de l'Agent Axeda de PTC (CVE-2022-25247)
Les sept vulnérabilités ont été collectivement appelées Access:7, dont trois ont été classés critiques par CISA, car ils permettent l'exécution de code à distance et la prise en charge complète de l'appareil. Ils pourraient également permettre aux pirates d'accéder à des données sensibles ou de modifier les configurations des appareils exposés..
Qui a découvert l'Access:7 défauts? Laboratoires Vedere de Forescout, en partenariat avec CyberMDX.
Qu'est-ce qu'Axeda? La solution est conçue pour que les fabricants d'appareils accèdent et gèrent à distance les appareils connectés. Selon la rédaction du Forescout, "l'agent affecté est le plus populaire dans les soins de santé mais est également présent dans d'autres industries, tels que les services financiers et la fabrication.
La liste des cibles potentielles comprend plus de 150 appareils appartenant à au moins une centaine de fournisseurs. Cela rend l'impact des vulnérabilités assez important. En outre, certains des appareils concernés sont l'imagerie médicale et appareils de laboratoire.
Voici la liste des sept vulnérabilités et leur impact et description:
- CVE-2022-25249 (Vulnérabilité de divulgation d'informations, rated 7.5): L'agent Axeda xGate.exe permet un accès en lecture illimité au système de fichiers via une traversée de répertoire sur son serveur Web.
- CVE-2022-25250 (Vulnérabilité de déni de service, rated 7.5): L'agent Axeda xGate.exe peut être arrêté à distance par un attaquant non authentifié via une commande non documentée.
- CVE-2022-25251 (Exécution de code à distance, rated 9.4): L'agent Axeda xGate.exe prend en charge un ensemble de commandes non authentifiées pour récupérer des informations sur un appareil et modifier la configuration de l'agent.
- CVE-2022-25246 (Exécution de code à distance, rated 9.8): Le service AxedaDesktopServer.exe utilise des informations d'identification codées en dur pour permettre le contrôle à distance complet d'un appareil.
- CVE-2022-25248 (divulgation d'information, rated 5.3): Le service ERemoteServer.exe expose un journal de texte d'événements en direct aux attaquants non authentifiés.
- CVE-2022-25247 (Exécution de code à distance, rated 9.8): Le service ERemoteServer.exe permet un accès complet au système de fichiers et l'exécution de code à distance.
- CVE-2022-25252 (Déni de service, rated 7.5): Tous les services Axeda utilisant xBase39.dll peuvent planter en raison d'un débordement de tampon lors du traitement des requêtes.
Une liste des appareils et des fournisseurs concernés est également disponible, y compris des noms tels que AT&T, Abbott, Alcón, BRAS, Bayer, Brainlab, Broadcom, Dell, Eurotech, Hitachhttps://sensorstechforum.com/cve-2019-10959-agw-medical/, HP, Medtronic, Philips, et Qualcomm.
Une rapport technique est également disponible, y compris des recommandations et des mesures d'atténuation pour les parties concernées.
L'année dernière, les chercheurs en sécurité Dan Petro et Allan Cecil de Bishop Fox Labs ont partagé leurs découvertes concernant une vulnérabilité RNG à la base de l'IoT (Internet des objets) sécurité. La faille critique résidait dans les générateurs de nombres matériels (RNG), affectant 35 milliards d'appareils dans le monde.
Milena Dimitrova
Un écrivain et gestionnaire de contenu inspiré qui travaille avec SensorsTechForum depuis le début du projet. Un professionnel avec 10+ années d'expérience dans la création de contenu engageant. Axé sur la vie privée des utilisateurs et le développement des logiciels malveillants, elle croit fermement dans un monde où la cybersécurité joue un rôle central. Si le bon sens n'a pas de sens, elle sera là pour prendre des notes. Ces notes peuvent se tourner plus tard dans les articles! Suivre Milena @Milenyim
Suivez-moi: