Samkvæmt skýrslu öryggisstofnunarinnar cve-2018-14787 er um forréttindastjórnunarmál að ræða.Í Intellispace hjarta- og æðakerfi (iscv) vörum frá Philips (iscv útgáfa 2. X eða eldri og Xcelera útgáfa 4.1 eða eldri), geta „árásarmenn með uppfærsluréttindi (þar á meðal auðkenndir notendur) fengið aðgang að möppunni með keyranlegum skrám með skrifréttindum og síðan framkvæmt handahófskenndan kóða með staðbundnum stjórnunarréttindum," sagði í tilkynningunni, "Árangursrík hagnýting þessara veikleika gæti gert árásarmönnum með staðbundinn aðgangsrétt og notendum iscv / Xcelera miðlara kleift að uppfæra heimildir á netþjóninum og framkvæma handahófskenndan kóða“
Í tilkynningunni segir að annar veikleikinn sem tilkynntur var í cve-2018-14789 sé iscv útgáfa 3.1 eða eldri og Xcelera útgáfa 4.1 eða eldri, og benti á að „ótilgreind leitarslóð eða varnarleysi í þáttum hafi verið greint, sem gæti gert árásarmönnum kleift að framkvæma handahófskennda kóða og auka forréttindastig þeirra“
Til að bregðast við öryggistilkynningu sagði Philips að „niðurstaðan af staðfestingu kvörtunar sem viðskiptavinir lögðu fram“ væri um 20 gluggaþjónustur á iscv útgáfu 2. X og eldri og Xcelera 3x – 4. X þjónum, þar af er keyrsluskráin til í mappa sem hefur fengið skrifheimild til staðfests notanda“ Þessar þjónustur keyra sem staðbundna stjórnandareikninga eða staðbundna kerfisreikninga, og ef notandi skiptir út einni af keyrsluskránum fyrir annað forrit mun forritið einnig nota staðbundinn stjórnanda eða staðbundið kerfisréttindi , „Stingur Philips til.Það mælir einnig með því að „í iscv útgáfu 3. X og eldri og Xcelera 3. X – 4. X, eru 16 Windows þjónustur án gæsalappa í slóðunum“ Þessar þjónustur keyra með staðbundnum stjórnandaréttindum og hægt er að ræsa þær með skráningarlykla, sem gæti veitt árásarmanni leið til að setja keyrsluskrár sem veita staðbundnum stjórnanda réttindi.“
Birtingartími: 10. desember 2021