Podatności PcVue

Podatność w systemie PcVue przed wersją 12.0.17 wynika z deserializacji niezaufanych danych, co może umożliwić atakującemu zdalne wykonanie dowolnego kodu na serwerze zaplecza webowego i mobilnego.

Nieokreślona kontrolka ActiveX w pliku SVUIGrd.ocx w oprogramowaniu ARC Informatique PcVue w wersjach od 6.0 do 10.0, FrontVue i PlantVue umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez użycie spreparowanego dokumentu HTML do przejęcia wskaźnika funkcji.

Podatność w PcVue przed wersją 17.0.0 wynika z użycia zbyt słabego algorytmu szyfrowania do ochrony konfiguracji kont użytkowników wbudowanego katalogu. Lokalny atakujący może zmodyfikować istniejącą konfigurację i uzyskać uprzywilejowany dostęp do aplikacji.

W projekcie PcVue w wersjach przed 17.0.0 poświadczenia wbudowanych użytkowników są przechowywane w niebezpieczny sposób w katalogu User. Lokalny atakujący może odczytać te poświadczenia. Konta Active Directory nie są podatne na tę lukę.

Podatność ataku na nagłówek Host HTTP w aplikacjach WebClient i WebScheduler PcVue (wersje 15.0.0 do 16.3.3) umożliwia zdalnemu atakującemu wstrzyknięcie szkodliwych ładunków manipulujących działaniem serwera. Problem dotyczy konkretnych endpointów: /Authentication/ExternalLogin, /Authentication/AuthorizationCodeCallback oraz /Authentication/Logout.

W aplikacjach webowych GraphicalData i WebClient oprogramowania PcVue w wersjach od 12.0.0 do 16.3.3 brakuje atrybutów Secure i SameSite w ciasteczkach. Umożliwia to ataki przechwytywania sesji oraz ataki CSRF.

Podatność XSS w usługach OAuth PcVue (wersje 12.0.0–16.3.3) umożliwia zdalnemu atakującemu wstrzyknięcie złośliwego kodu na stronę błędu serwera OAuth. Atak wymaga nakłonienia uwierzytelnionego użytkownika do załadowania treści z zewnętrznej strony po nieudanym logowaniu.

Podatność w PcVue (wersje 12.0.0–16.3.3) powoduje, że domyślna konfiguracja IIS i ASP.NET dodaje nagłówki HTTP, które nie są usuwane podczas wdrażania usług sieciowych dla funkcji WebVue, WebScheduler, TouchVue i SnapVue. Umożliwia to niepotrzebne ujawnianie poufnych informacji o konfiguracji serwera.

Podatność w PcVue polega na tym, że przepływ OAuth ROPC (Resource Owner Password Credentials) jest nadal używany przez webservices funkcji WebVue, WebScheduler, TouchVue i Snapvue w wersjach od 12.0.0 do 16.3.3, mimo że jest wycofany. Może to umożliwić zdalnemu atakującemu kradzież poświadczeń użytkownika.

Brak walidacji pochodzenia w WebSocketach w interfejsach WebVue, WebScheduler, TouchVue i SnapVue oprogramowania PcVue (wersje 12.0.0–16.3.3) umożliwia zdalnemu atakującemu nakłonienie uwierzytelnionego użytkownika do odwiedzenia złośliwej strony. Podatność dotyczy tylko endpointów GraphicalData/js/signalR/connect i GraphicalData/js/signalR/reconnect.

W PcVue w wersjach od 8.10 do 15.2.3 wykryto podatność polegającą na przechowywaniu wrażliwych informacji w postaci jawnego tekstu. Nieuprawniony użytkownik mający dostęp do plików konfiguracyjnych kont e-mail i SMS może odkryć poświadczenia konta SMTP oraz kod PIN karty SIM.

W PcVue w wersjach od 15 do 15.2.2 wykryto podatność polegającą na wstawianiu poufnych informacji do plików dziennika. Użytkownik mający dostęp do tych plików może odkryć ciągi połączeń źródeł danych skonfigurowanych dla DbConnect, które mogą zawierać poświadczenia.

Podatność w systemie PcVue przed wersją 12.0.17 umożliwia nieautoryzowanym użytkownikom dostęp do danych sesji legalnych użytkowników. Problem dotyczy również systemów firm trzecich opartych na Web Services Toolkit.

Podatność w systemie PcVue przed wersją 12.0.17 umożliwia nieautoryzowanemu użytkownikowi modyfikację informacji używanych do walidacji wiadomości od legalnych klientów internetowych, co prowadzi do ataku typu odmowa usługi (DoS). Problem dotyczy również systemów firm trzecich opartych na Web Services Toolkit.