BDU:2025-08324

Опубликовано: 08 июл. 2025

Источник: fstec

CVSS3: 10

CVSS2: 10

EPSS Низкий

Описание

Уязвимость веб-интерфейса программного средства для управления инфраструктурой центра обработки данных EcoStruxure IT Data Center Expert связана с непринятием мер по нейтрализации специальных элементов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем создания специально сформированной папки

Вендор

Schneider Electric

Наименование ПО

EcoStruxure IT Data Center Expert

Версия ПО

до 9.0 (EcoStruxure IT Data Center Expert)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.1 составляет 10)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- ограничение возможности доступа к веб-интерфейсу управления уязвимого программного обеспечения по протоколу HTTP;

- использование межсетевого экрана уровня приложений (WAF) для фильтрации сетевого трафика;

- ограничение доступа к веб-интерфейсу управления уязвимого программного обеспечения, используя схему доступа по «белым спискам»;

- использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимости;

- использование виртуальных частных сетей для организации удаленного доступа (VPN);

- ограничение доступа к веб-интерфейсу управления уязвимого программного обеспечения из внешних сетей (Интернет).

Использование рекомендаций:

https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2025-189-01&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2025-189-01.pdf

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2025-189-01&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2025-189-01.pdf

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-50121
CVE

EPSS

Процентиль: 75%

0.00893

Низкий

10 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2025-50121

nvd

2 месяца назад

A CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') vulnerability exists that could cause unauthenticated remote code execution when a malicious folder is created over the web interface HTTP when enabled. HTTP is disabled by default.

GHSA-4gh4-j9hh-74h5

CVSS3: 10

github

2 месяца назад

CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') vulnerability exists that could cause unauthenticated remote code execution when a malicious folder is created over the web interface HTTP when enabled. HTTP is disabled by default.

EPSS

Процентиль: 75%

0.00893

Низкий

10 Critical

CVSS3

10 Critical

CVSS2