Zero
Markus Spiske | CC
Un bug in LabVIEW che potrebbe consentire l’esecuzione di codice da aggressori, ora è stato aggiornato a seguito di una controversia tra gli Strumenti Nazionali e Cisco Talos team di sicurezza.
La scorsa settimana, Cisco Talos rilasciato i dettagli della vulnerabilità al pubblico. In un avviso di sicurezza, Talos ha detto che il bug, scoperto da un membro del team, Cory Duplantis, potrebbe comportare la potenziale esecuzione di codice da parte di malintenzionati.
La vulnerabilità CVE-2017-2779, colpisce LabVIEW di National Instruments versioni 2014 — 2017, un sistema di progettazione e sviluppo della piattaforma utilizzata per applicazioni industriali.
Secondo Lui, il problema si trova all’interno di LabVIEW del formato di file proprietario, .VI. Il team dice che VI sono i file che contengono una sezione chiamata “RSRC,” che è presumibilmente utilizzato per memorizzare le informazioni sulle risorse. Se i valori di questa sezione sono manipolati, questo può causare una condizione di loop risultante in un arbitrario null scrivere e di corruzione della memoria.
Se un utente malintenzionato di creare appositamente predisposti VI con valori alterati, il team dice che potrebbe essere in grado di eseguire il codice, che a loro volta potrebbero compromettere il sistema, la distribuzione di malware o di sorveglianza.
Originariamente, National Instruments ha detto Talos che questo problema non costituiscono una vulnerabilità, come “qualsiasi .exe come formato di file può essere modificato per sostituire il legittimo contenuti dannosi, e [codice]”, e il venditore ha rifiutato di rilasciare una patch.
“Ci sono somiglianze tra questa vulnerabilità e l’ .NET PE loader vulnerabilità CVE-2007-0041 che è stato patchato in MS07-040,” ha detto il Talos sicurezza di piombo Martin Lee. “Inoltre, molti utenti potrebbero non essere a conoscenza che VI sono file analoghi a .i file exe e devono essere riconosciuti gli stessi requisiti di sicurezza.”
Ora il problema è stato reso pubblico, sembra che NI ha avuto un cambiamento di cuore, e ha emesso un avviso di sicurezza alla fine della scorsa settimana per informare gli utenti che la vulnerabilità è stato ora corretto.
Tuttavia, il venditore ha sottolineato che, nonostante la distribuzione delle patch, la prospettiva di un bug che conduce l’esecuzione di codice è “molto improbabile”.
“La corruzione di memoria può essere un problema di protezione,” NI ha detto. “In questo caso, lo sfruttamento per l’esecuzione di codice è molto improbabile […] e non è stata dimostrata. Sfruttamento per l’esecuzione di codice viene ulteriormente limitata dalla memoria del sistema operativo protezioni.”
“La vulnerabilità non può essere sfruttata da remoto, perché il RSRC segmento di analisi, che non è legato per lo stack di rete,” l’azienda ha aggiunto.
Più notizie di sicurezza
iOS 11 più sottovalutati della funzione di sicurezza? Un gestore di password
Android Oreo: Google aggiunge in più di sicurezza del kernel Linux caratteristiche
Questo gigante ransomware campagna appena inviato milioni di malware, la diffusione di messaggi di posta elettronica
HackerOne ha l’obiettivo di rendere bug cacciatori di taglie di 100 milioni di dollari entro il 2020
0