BDU:2022-04155

Опубликовано: 15 июн. 2022

Источник: fstec

CVSS3: 8.1

CVSS2: 8.5

EPSS Низкий

Описание

Уязвимость серверов Metasys Application and Data Server (ADS), Metasys Extended Application and Data Server (ADX) и Metasys Open Application Server (OAS) связана с отсутствием мер по очистке входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код

Вендор

Johnson Controls Inc.

Наименование ПО

Metasys Open Application Server (OAS)

Metasys Application and Data Server (ADS)

Metasys Extended Application and Data Server (ADX)

Версия ПО

от 10 до 10.1.5 (Metasys Open Application Server (OAS))

от 10.0 до 10.1.5 включительно (Metasys Application and Data Server (ADS))

11.0 (Metasys Application and Data Server (ADS))

11.0.1 (Metasys Application and Data Server (ADS))

от 10.0 до 10.1.5 включительно (Metasys Extended Application and Data Server (ADX))

11.0 (Metasys Extended Application and Data Server (ADX))

11.0.1 (Metasys Extended Application and Data Server (ADX))

11.0 (Metasys Open Application Server (OAS))

11.0.1 (Metasys Open Application Server (OAS))

Тип ПО

Сетевое средство

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 8,5)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,1)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://www.johnsoncontrols.com/cyber-solutions/security-advisories

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 67%

0.00541

Низкий

8.1 High

CVSS3

8.5 High

CVSS2

Связанные уязвимости

CVE-2022-21937

CVSS3: 8.7

nvd

больше 3 лет назад

Under certain circumstances, a vulnerability in Metasys ADS/ADX/OAS 10 versions prior to 10.1.5 and Metasys ADS/ADX/OAS 11 versions prior to 11.0.2 could allow a user to inject malicious code into the web interface.

GHSA-6p3q-m7x8-x9pq

CVSS3: 5.4

github