फिलिप्स कार्डियोभास्कुलर इमेजिङ उपकरणमा सफ्टवेयर भेद्यता भेटियो

सुरक्षा एजेन्सीको रिपोर्ट cve-2018-14787 अनुसार, यो एक विशेषाधिकार व्यवस्थापन मुद्दा हो।फिलिप्सको इन्टेलिस्पेस कार्डियोभास्कुलर (iscv) उत्पादनहरूमा (iscv संस्करण 2. X वा अघिल्लो र Xcelera संस्करण 4.1 वा अघिको), “अपग्रेड अधिकारहरू (प्रमाणीकृत प्रयोगकर्ताहरू सहित) भएका आक्रमणकारीहरूले लेखन अधिकारको साथ कार्यान्वयनयोग्य फाइलहरूको फोल्डर पहुँच गर्न सक्छन्, र त्यसपछि स्वेच्छाचारी कोड कार्यान्वयन गर्न सक्छन्। स्थानीय प्रशासनिक अधिकारको साथ," घोषणाले भन्यो, "यी कमजोरीहरूको सफल शोषणले स्थानीय पहुँच अधिकार भएका आक्रमणकारीहरूलाई अनुमति दिन सक्छ र iscv / Xcelera सर्भरका प्रयोगकर्ताहरूलाई सर्भरमा अनुमतिहरू अपग्रेड गर्न र स्वेच्छाचारी कोड कार्यान्वयन गर्न सक्छ"।

घोषणाले cve-2018-14789 मा घोषणा गरेको दोस्रो कमजोरी iscv संस्करण 3.1 वा अघिल्लो र Xcelera संस्करण 4.1 वा अघिल्लो हो, र औंल्यायो कि "अवरोधित खोज मार्ग वा तत्व कमजोरी पहिचान गरिएको छ, जसले आक्रमणकारीहरूलाई मनमानी कार्यान्वयन गर्न अनुमति दिन सक्छ। कोड र उनीहरूको विशेषाधिकार स्तर बढाउनुहोस्"

एक सुरक्षा घोषणाको जवाफमा, फिलिप्सले भने कि "ग्राहकहरूले पेश गरेको उजुरीको पुष्टि गर्ने परिणाम" iscv संस्करण 2. X र अघिल्लो र Xcelera 3x - 4. X सर्भरहरूमा लगभग 20 विन्डोज सेवाहरू छन्, जसमध्ये कार्यान्वयनयोग्य फाइल अवस्थित छ। एक फोल्डर जसले एक प्रमाणीकृत प्रयोगकर्तालाई लेख्ने अनुमति प्रदान गरेको छ" यी सेवाहरू स्थानीय प्रशासक खाताहरू वा स्थानीय प्रणाली खाताहरूको रूपमा चल्छन्, र यदि प्रयोगकर्ताले कार्यान्वयनयोग्य फाइलहरू मध्ये एकलाई अर्को प्रोग्रामसँग बदल्छ भने, कार्यक्रमले स्थानीय प्रशासक वा स्थानीय प्रणाली विशेषाधिकारहरू पनि प्रयोग गर्नेछ। , "फिलिप्सले सुझाव दिन्छ।यसले यो पनि सिफारिस गर्दछ कि "iscv संस्करण 3. X र अघिल्लो र Xcelera 3. X - 4. X मा, त्यहाँ 16 विन्डोज सेवाहरू छन् जुन तिनीहरूको पथनामहरूमा उद्धरण चिन्हहरू छैनन्" यी सेवाहरू स्थानीय प्रशासक विशेषाधिकारहरूसँग चल्छन् र रजिस्ट्री कुञ्जीहरूसँग सुरु गर्न सकिन्छ, जसले आक्रमणकर्तालाई स्थानीय प्रशासक विशेषाधिकारहरू प्रदान गर्ने कार्यान्वयनयोग्य फाइलहरू राख्ने तरिका प्रदान गर्न सक्छ।"