Nul
Markus Spiske | CC
Een bug in LabVIEW, die kunnen leiden tot uitvoering van code die door aanvallers heeft nu gepatched naar aanleiding van een geschil tussen de Nationale Instrumenten en de Cisco Talos security team.
Vorige week, Cisco Talos vrijgegeven van de details van de kwetsbaarheid voor het publiek. In een security advisory, Talos, zei de bug ontdekt door een lid van het team, Cory Duplantis, zou kunnen leiden tot de mogelijke uitvoering van de code door de aanvallers.
De kwetsbaarheid CVE-2017-2779, van invloed is op National Instruments LabVIEW versies 2014 — 2017, een systeem design en ontwikkeling platform gebruikt voor industriële toepassingen.
Volgens Talos, het probleem ligt in LabVIEW ‘ s eigen bestandsformaat, .VI. Het team zegt dat de VI-bestanden bevatten een paragraaf “RSRC,” die is vermoedelijk gebruikt voor het opslaan van gegevens bron. Als de waarden van deze sectie zijn gemanipuleerd, dit kan leiden tot een lus, resulterend in een willekeurige null schrijven en geheugen corruptie.
Moet een aanvaller een speciaal vervaardigd VI met gewijzigde waarden, het team zegt dat ze in staat zijn om code uit te voeren, die op hun beurt leiden tot inbreuk op het systeem, malware distributie of toezicht.
Oorspronkelijk, Nationale Instrumenten vertelde Talos dat dit probleem niet vormen van een kwetsbaarheid, als “een .exe zoals de bestandsindeling kan worden aangepast voor het vervangen van legitieme content met kwaadaardige [code],” en de verkoper weigert een patch.
“Er zijn overeenkomsten tussen dit probleem en het .NETTO PE lader kwetsbaarheid CVE-2007-0041 die gepatched in MS07-040,” zei Talos zekerheid leiden Martin Lee. “Bovendien, veel gebruikers weten niet dat VI-bestanden zijn analoog aan .exe-bestanden en dient te worden verleend dezelfde beveiligingseisen.”
Nu het probleem is openbaar gemaakt, lijkt het erop dat NI heeft een verandering van hart, en uitgegeven in een security advisory eind vorige week om gebruikers te informeren dat de kwetsbaarheid is inmiddels hersteld.
Echter, de leverancier benadrukt dat, ondanks de patch implementatie, het vooruitzicht van de bug die leiden tot code-uitvoering is “zeer onwaarschijnlijk.”
“Geheugen corruptie kan een kwetsbaarheid in de beveiliging,” NI gezegd. “In dit geval, de exploitatie voor de uitvoering van code, is het zeer onwaarschijnlijk […] en niet is aangetoond. – Exploitatie code-uitvoering is verder beperkt worden door het besturingssysteem in het geheugen van bescherming.”
“De kwetsbaarheid kan worden uitgebuit op afstand omdat de RSRC-segment parseren functie is niet gebonden aan de netwerk-stack,” voegde het bedrijf.
Meer nieuws over beveiliging
iOS 11 de meest onderschatte functie beveiliging? Een wachtwoord manager
Android Oreo: Google voegt meer Linux kernel security functies
Deze gigantische ransomware campagne stuurde miljoenen malware-verspreiding van e-mails
HackerOne wil betalen bug bounty hunters $100 miljoen in 2020
0