PT-2021-7779 · 3S Smart Software Solutions · Codesys Development System
CVE-2021-21863
·
Publicado
2021-08-05
·
Atualizado
2022-09-30
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Sistema de desenvolvimento CODESYS, versões 3.5.16 a 3.5.17
Descrição
Existe uma vulnerabilidade de deserialização insegura na funcionalidade
ComponentModel Profile.FromFile(). Esse problema está relacionado a falhas no mecanismo de deserialização, permitindo que um invasor execute comandos arbitrários ao fornecer um arquivo especialmente criado. A vulnerabilidade pode ser acionada quando um arquivo malicioso é utilizado, levando à possível execução de comandos.Recomendações
Para as versões 3.5.16 e 3.5.17, considere desativar a função
Profile.FromFile() até que uma correção esteja disponível para impedir a exploração. Restrinja o acesso a arquivos que possam ser usados para acionar essa vulnerabilidade, a fim de minimizar o risco de execução de comandos arbitrários.Correção
Deserialization of Untrusted Data
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Codesys Development System