फिलिप्स कार्डियोवैस्कुलर इमेजिंग डिवाइस में सॉफ़्टवेयर भेद्यता पाई गई

सुरक्षा एजेंसी की रिपोर्ट cve-2018-14787 के अनुसार, यह एक विशेषाधिकार प्रबंधन समस्या है।फिलिप्स के इंटेलिस्पेस कार्डियोवैस्कुलर (आईएससीवी) उत्पादों (आईएससीवी संस्करण 2. एक्स या पहले और एक्ससेलेरा संस्करण 4.1 या इससे पहले) में, "अपग्रेड अधिकारों वाले हमलावर (प्रमाणित उपयोगकर्ताओं सहित) लिखने के अधिकार के साथ निष्पादन योग्य फ़ाइलों के फ़ोल्डर तक पहुंच सकते हैं, और फिर मनमाना कोड निष्पादित कर सकते हैं। स्थानीय प्रशासनिक अधिकारों के साथ," घोषणा में कहा गया, "इन कमजोरियों के सफल शोषण से हमलावरों को स्थानीय एक्सेस अधिकारों और iscv / Xcelera सर्वर के उपयोगकर्ताओं को सर्वर पर अनुमतियों को अपग्रेड करने और मनमाने कोड को निष्पादित करने की अनुमति मिल सकती है"

घोषणा में कहा गया है कि cve-2018-14789 में घोषित की गई दूसरी कमजोरी iscv संस्करण 3.1 या उससे पहले और Xcelera संस्करण 4.1 या उससे पहले की है, और बताया कि "एक अज्ञात खोज पथ या तत्व भेद्यता की पहचान की गई है, जो हमलावरों को मनमाने ढंग से निष्पादित करने की अनुमति दे सकती है। कोड और उनके विशेषाधिकार स्तर को बढ़ाएं"

एक सुरक्षा घोषणा के जवाब में, फिलिप्स ने कहा कि "ग्राहकों द्वारा प्रस्तुत शिकायत की पुष्टि करने का परिणाम" iscv संस्करण 2. X और पहले और Xcelera 3x - 4. X सर्वर पर लगभग 20 विंडोज़ सेवाएं हैं, जिनमें से निष्पादन योग्य फ़ाइल में मौजूद है। एक फ़ोल्डर जिसे एक प्रमाणित उपयोगकर्ता को लिखने की अनुमति दी गई है" ये सेवाएं स्थानीय व्यवस्थापक खातों या स्थानीय सिस्टम खातों के रूप में चलती हैं, और यदि कोई उपयोगकर्ता निष्पादन योग्य फ़ाइलों में से किसी एक को दूसरे प्रोग्राम से बदल देता है, तो प्रोग्राम स्थानीय व्यवस्थापक या स्थानीय सिस्टम विशेषाधिकारों का भी उपयोग करेगा , “फिलिप्स सुझाव देते हैं।यह भी अनुशंसा करता है कि "आईएससीवी संस्करण 3. एक्स और पहले और एक्ससेलेरा 3. एक्स - 4. एक्स में, उनके पथनामों में उद्धरण चिह्नों के बिना 16 विंडोज़ सेवाएं हैं" ये सेवाएं स्थानीय व्यवस्थापक विशेषाधिकारों के साथ चलती हैं और रजिस्ट्री कुंजियों के साथ शुरू की जा सकती हैं, जो एक हमलावर को स्थानीय व्यवस्थापक विशेषाधिकार प्रदान करने वाली निष्पादन योग्य फ़ाइलों को रखने का तरीका प्रदान कर सकता है।"