CVE-2025-61943
WysokieStreszczenie
Podatność, jeśli zostanie wykorzystana, może pozwolić uwierzytelnionemu atakującemu (standardowy użytkownik Process Optimization) na manipulowanie zapytaniami w Captive Historian i osiągnięcie wykonania kodu z uprawnieniami administracyjnymi SQL Server, co może skutkować całkowitą kompromitacją SQL Servera.
Ocena ryzyka
Atakujący może uzyskać pełną kontrolę nad SQL Serverem, co może prowadzić do naruszenia danych i całej infrastruktury bazodanowej.
Rekomendacja
Zaleca się ograniczenie uprawnień użytkowników oraz wdrożenie zabezpieczeń na poziomie zapytań SQL.
Inne podatności w Process Optimization
Zobacz wszystkie- CVE-2025-65118Wysokie
Podatność, jeśli zostanie wykorzystana, może pozwolić uwierzytelnionemu atakującemu (standardowy użytkownik OS) na nakłonienie usług Process Optimization do załadowania dowolnego kodu i eskalację uprawnień do poziomu systemu OS, co może skutkować całkowitą kompromitacją serwera aplikacji modelu.
- CVE-2025-65117Wysokie
Podatność, jeśli zostanie wykorzystana, może pozwolić uwierzytelnionemu atakującemu (użytkownikowi Process Optimization Designer) na osadzenie obiektów OLE w grafice i eskalację uprawnień do tożsamości ofiary, która później wejdzie w interakcję z elementami graficznymi.
- CVE-2025-64769Wysokie
Zestaw aplikacji Process Optimization wykorzystuje kanały/protokoły połączeń, które domyślnie nie są szyfrowane i mogą być podatne na przejęcie lub wyciek danych w scenariuszach man-in-the-middle lub pasywnej inspekcji.
- CVE-2025-64729Wysokie
Podatność, jeśli zostanie wykorzystana, może pozwolić uwierzytelnionemu atakującemu (standardowy użytkownik OS) na manipulowanie plikami projektu Process Optimization, osadzenie kodu i eskalację uprawnień do tożsamości ofiary, która później wejdzie w interakcję z plikami projektu.
- CVE-2025-64691Wysokie
Podatność, jeśli zostanie wykorzystana, może pozwolić uwierzytelnionemu atakującemu (standardowy użytkownik OS) na manipulowanie skryptami makr TCL i eskalację uprawnień do poziomu systemu OS, co może skutkować całkowitą kompromitacją serwera aplikacji modelu.
Oryginalny opis (angielski, źródło NVD)
The vulnerability, if exploited, could allow an authenticated miscreant (Process Optimization Standard User) to tamper with queries in Captive Historian and achieve code execution under SQL Server administrative privileges, potentially resulting in complete compromise of the SQL Server.