BDU:2025-07179

Опубликовано: 07 фев. 2025

Источник: fstec

CVSS3: 9

CVSS2: 7.6

EPSS Низкий

Описание

Уязвимость компонента Product Delivery Service (PDS) программного обеспечения для сбора, анализа и визуализации метеорологических данных Visual Weather и производных продуктов NAMIS, Aero Weather, Satellite Weather связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код или вызвать отказ в обслуживании

Вендор

Campbell Scientific, Inc.

Наименование ПО

Visual Weather

NAMIS

Aero Weather

Satellite Weather

Версия ПО

8.2.5 (Visual Weather)

8.2.5 (NAMIS)

7.3.9 (NAMIS)

7.3.6 (Enterprise Build) (NAMIS)

8.5.2 (Enterprise Build) (NAMIS)

8.5.2 (Enterprise Build) (Visual Weather)

7.3.9 (Visual Weather)

7.3.6 (Enterprise Build) (Visual Weather)

8.2.5 (Aero Weather)

7.3.9 (Aero Weather)

7.3.6 (Enterprise Build) (Aero Weather)

8.5.2 (Enterprise Build) (Aero Weather)

8.2.5 (Satellite Weather)

7.3.9 (Satellite Weather)

7.3.6 (Enterprise Build) (Satellite Weather)

8.5.2 (Enterprise Build) (Satellite Weather)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,6)

Критический уровень опасности (базовая оценка CVSS 3.1 составляет 9)

Критический уровень опасности (оценка CVSS 4.0 составляет 9,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://www.iblsoft.com/security/advisory-isec-2024-001/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

https://www.iblsoft.com/security/advisory-isec-2024-001/

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-1077
CVE

EPSS

Процентиль: 75%

0.00865

Низкий

9 Critical

CVSS3

7.6 High

CVSS2

Связанные уязвимости

CVE-2025-1077

nvd

около 1 года назад

A security vulnerability has been identified in the IBL Software Engineering Visual Weather and derived products (NAMIS, Aero Weather, Satellite Weather). The vulnerability is present in the Product Delivery Service (PDS) component in specific server configurations where the PDS pipeline utilizes the IPDS pipeline with Message Editor Output Filters enabled. A remote unauthenticated attacker can exploit this vulnerability to send unauthenticated requests to execute the IPDS pipeline with specially crafted Form Properties, enabling remote execution of arbitrary Python code. This vulnerability could lead to a full system compromise of the affected server, particularly if Visual Weather services are run under a privileged user account—contrary to the documented installation best practices. Upgrade to the patched versions 7.3.10 (or higher), 8.6.0 (or higher).

GHSA-w762-973h-phj5

github