Noam Moshe

توجد مشكلة تتعلق بتخصيص ذاكرة ذات حجم مفرط في برامج Trane Tracer SC وTracer SC+ وTracer Concierge. وقد يتيح ذلك لمهاجم غير مصدق عليه التسبب في حالة رفض الخدمة.

يوجد عيب في عملية المصادقة في برامج Trane Tracer SC وTracer SC+ وTracer Concierge. قد تسمح هذه المشكلة لمهاجم غير مصادق عليه بالوصول إلى معلومات حساسة عبر واجهات برمجة التطبيقات (API) غير المحمية. تفتقر نقاط نهاية واجهة برمجة التطبيقات (API) المتأثرة إلى عمليات التحقق من المصادقة المناسبة، مما قد يعرض البيانات للوصول غير المصرح به.

يوجد عيب ناتج عن استخدام بيانات اعتماد مبرمجة بشكل ثابت في برامج Trane Tracer SC وTracer SC+ وTracer Concierge. وقد يتيح ذلك للمهاجم الكشف عن معلومات حساسة والسيطرة على الحسابات.

توجد مشكلة تتعلق باستخدام خوارزمية تشفير معطوبة أو محفوفة بالمخاطر في Trane Tracer SC وTracer SC+ وTracer Concierge. وقد يتيح ذلك للمهاجم تجاوز المصادقة والحصول على وصول بمستوى الجذر إلى الجهاز. تؤثر هذه المشكلة على شبكات أتمتة المباني، مما قد يوفر مسارًا مباشرًا للوصول بمستوى الجذر.

توجد مشكلة تتعلق باستخدام ثوابت مبرمجة بشكل ثابت ذات صلة بالأمان في Trane Tracer SC وTracer SC+ وTracer Concierge. وقد يتيح ذلك للمهاجم الكشف عن معلومات حساسة والاستيلاء على الحسابات. تتعلق المشكلة باستخدام ثوابت مبرمجة بشكل ثابت ذات صلة بالأمان.

توجد ثغرة أمنية تتعلق بحقن الأوامر في نظام التشغيل تتيح للمهاجم المصادق عليه تنفيذ تعليمات برمجية عن بُعد على النظام. ويتم ذلك عن طريق إرسال مدخلات مزورة إلى المسار `restore`. تعتبر مسار `restore` عرضة لحقن الأوامر بسبب عدم كفاية التحقق من صحة المدخلات. لم يتم تحديد المعلمة المعرضة للثغرة.

توجد ثغرة أمنية تتعلق بحقن أوامر نظام التشغيل في XWEB Pro. يتيح الاستغلال الناجح للمهاجم المصادق عليه تنفيذ تعليمات برمجية عن بُعد على النظام، من خلال توفير ملف تحديث البرنامج الثابت الذي تم التلاعب به عبر مسار تحديث البرنامج الثابت. المكون المعرض للثغرة هو مسار تحديث البرنامج الثابت. المعلمة المعرضة للثغرة هي ملف تحديث البرنامج الثابت.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة XWEB Pro الإصدارات الأقدم من 1.12.1 الوصف توجد ثغرة أمنية تتعلق بحقن أوامر نظام التشغيل، مما يسمح لمهاجم معتمد بتنفيذ تعليمات برمجية عن بُعد. ويحدث ذلك عند إدخال بيانات ضارة عبر إعداد اسم المضيف للجهاز أثناء تهيئة النظام. يقوم النظام بمعالجة هذه البيانات، مما يؤدي إلى تنفيذ تعليمات برمجية عن بُعد. التوصيات قم بالتحديث إلى إصدار أحدث من 1.12.1.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات XWEB Pro الأقدم من 1.12.1 الوصف توجد ثغرة أمنية تسمح لمهاجم معتمد بتنفيذ تعليمات برمجية على النظام. ويتم ذلك عن طريق إرسال مدخلات مزورة في حقل اسم المستخدم الخاص بعملية الاستيراد المُعدة مسبقًا عبر مسار واجهة برمجة التطبيقات (API) V1. نقطة نهاية واجهة برمجة التطبيقات (API) المتأثرة هي ’/api/V1‘. والمعلمة المعرضة للخطر هي `username`. التوصيات قم بالتحديث إلى إصدار أحدث من 1.12.1.

يوجد ثغرة تسمح بتجاوز المصادقة بسبب المعالجة غير السليمة لقيم الإرجاع الخاصة بروتين المصادقة. حيث يعالج البرنامج قيمة إرجاع غير متوقعة على أنها صحيحة، مما يؤدي إلى تجاوز ضوابط المصادقة.

يمكن لمهاجم غير مصدق هويته تنفيذ أوامر على النظام عن بُعد. ويتم ذلك عن طريق إرسال طلب مصمم خصيصًا إلى مسار تثبيت المكتبات وحقن مدخلات ضارة في نص الطلب. يقوم التطبيق بمعالجة الطلبات بطريقة غير سليمة، مما يسمح بتنفيذ التعليمات البرمجية عن بُعد (RCE).

توجد ثغرة أمنية تتعلق بحقن الأوامر في نظام التشغيل تسمح لمهاجم معتمد بتنفيذ تعليمات برمجية عن بُعد. ويتم ذلك عن طريق حقن مدخلات ضارة في حقل اسم ملف الخريطة أثناء عملية تحميل الخريطة في مسار المعلمات.

توجد ثغرة أمنية تتعلق بحقن الأوامر في نظام التشغيل، مما يسمح لمهاجم معتمد بتنفيذ تعليمات برمجية عن بُعد. ويتم ذلك عن طريق إرسال مدخلة مُعدلة إلى مسار تحديث البرنامج الثابت. تؤثر هذه المشكلة على الأنظمة التي تعمل بالبرنامج المعرض للخطر.

يوجد ثغرة تسمح لمهاجم معتمد بتنفيذ تعليمات برمجية عن بُعد على النظام. ويتم ذلك عن طريق حقن مدخلات ضارة في الطلبات المرسلة إلى المسار `/templates`. وتتمثل المشكلة في حقن الأوامر في نظام التشغيل.

توجد ثغرة أمنية تتعلق بحقن أوامر نظام التشغيل في XWEB Pro، مما يسمح لمهاجم معتمد بتنفيذ تعليمات برمجية عن بُعد على النظام. ويتم تحقيق ذلك عن طريق تزويد ملف قالب تم التلاعب به إلى المسار `/devices`. ويُعد «ملف القالب» مصدر عملية الحقن.

يوجد ثغرة تسمح لمهاجم معتمد بتنفيذ تعليمات برمجية عن بُعد على النظام. ويتم ذلك عن طريق إدخال بيانات ضارة في حقل `devices` عند الوصول إلى نقطة نهاية واجهة برمجة التطبيقات (API) `/get setup`. ويؤدي ذلك إلى تنفيذ تعليمات برمجية عن بُعد.

يوجد ثغرة تسمح لمهاجم معتمد بتنفيذ تعليمات برمجية عن بُعد على النظام. ويتم ذلك عن طريق حقن مدخلات ضارة في حقل `devices` ضمن عملية تطبيق تحديث البرنامج الثابت. وتعتبر هذه الثغرة عملية حقن أوامر في نظام التشغيل.

يوجد تجاوز سعة المخزن المؤقت (buffer overflow) قائم على المكدس في مسار API لبرنامج XWEB Pro. وهذا يسمح للمهاجمين غير المصادق عليهم بالتسبب في تلف المكدس وإغلاق البرنامج. لم يتم تحديد مسار API المعرض للخطر.

يوجد ثغرة تسمح لمهاجم معتمد بتنفيذ تعليمات برمجية عن بُعد على النظام. ويتم ذلك عن طريق حقن مدخلات ضارة في حقل `devices` أثناء عملية تحديث البرنامج الثابت. ويؤدي هذا الحقن إلى تنفيذ تعليمات برمجية عن بُعد.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة XWEB Pro الإصدارات الأقدم من 1.12.1 الوصف توجد ثغرة تسمح لمهاجم معتمد بتنفيذ تعليمات برمجية عن بُعد على النظام. ويتم ذلك عن طريق حقن مدخلات ضارة في حقول معلمات OpenSSL في الطلبات المرسلة إلى مسار الأداة المساعدة. تؤدي هذه الثغرة إلى تنفيذ تعليمات برمجية عن بُعد. التوصيات قم بالتحديث إلى إصدار أحدث من 1.12.1.