Atopouse unha vulnerabilidade de software no dispositivo de imaxe cardiovascular Philips

Segundo o informe da axencia de seguridade cve-2018-14787, é un problema de xestión de privilexios.Nos produtos intellispace cardiovascular (iscv) de Philips (iscv versión 2. X ou anterior e Xcelera versión 4.1 ou anterior), "os atacantes con dereitos de actualización (incluídos os usuarios autenticados) poden acceder ao cartafol de ficheiros executables con dereitos de escritura e, a continuación, executar código arbitrario. con dereitos administrativos locais", dixo o anuncio, "A explotación exitosa destas vulnerabilidades pode permitir aos atacantes con dereitos de acceso locais e aos usuarios do servidor iscv / Xcelera actualizar os permisos no servidor e executar código arbitrario".

O anuncio di que a segunda debilidade anunciada en cve-2018-14789 é a versión 3.1 ou anterior de iscv e a versión 4.1 de Xcelera ou anterior, e apuntou que "se identificou unha ruta de busca sen citas ou unha vulnerabilidade de elementos, que pode permitir aos atacantes executar de forma arbitraria. codificar e mellorar o seu nivel de privilexios"

En resposta a un anuncio de seguridade, Philips dixo que "o resultado da confirmación da queixa presentada polos clientes" son uns 20 servizos de Windows na versión 2. X e anteriores e servidores Xcelera 3x - 4. X, dos cales existe o ficheiro executable en servidores iscv. un cartafol ao que se lle concedeu permiso de escritura a un usuario autenticado" Estes servizos execútanse como contas de administrador local ou contas do sistema local, e se un usuario substitúe un dos ficheiros executables por outro programa, o programa tamén utilizará privilexios de administrador local ou do sistema local ", suxire Philips.Tamén recomenda que "na versión iscv 3. X e anteriores e Xcelera 3. X - 4. X, hai 16 servizos de Windows sen comiñas nos seus nomes de ruta". Estes servizos execútanse con privilexios de administrador local e pódense iniciar con claves de rexistro, que pode proporcionar a un atacante unha forma de colocar ficheiros executables que outorgan privilexios de administrador local."