De acordo com o relatório da agência de segurança cve-2018-14787, é um problema de gerenciamento de privilégios.Nos produtos intellispace cardiovascular (iscv) da Philips (iscv versão 2. X ou anterior e Xcelera versão 4.1 ou anterior), “invasores com direitos de atualização (incluindo usuários autenticados) podem acessar a pasta de arquivos executáveis com direitos de gravação e, em seguida, executar código arbitrário com direitos administrativos locais”, dizia o anúncio, “a exploração bem-sucedida dessas vulnerabilidades pode permitir que invasores com direitos de acesso local e usuários do servidor iscv / Xcelera atualizem as permissões no servidor e executem código arbitrário“
O anúncio disse que a segunda fraqueza anunciada em cve-2018-14789 é iscv versão 3.1 ou anterior e Xcelera versão 4.1 ou anterior, e apontou que “um caminho de pesquisa não citado ou vulnerabilidade de elemento foi identificado, o que pode permitir que invasores executem ações arbitrárias codificar e aumentar seu nível de privilégio"
Em resposta a um anúncio de segurança, a Philips disse que "o resultado da confirmação da reclamação enviada pelos clientes" é cerca de 20 serviços do Windows em servidores iscv versão 2. X e anteriores e Xcelera 3x - 4. X, dos quais o arquivo executável existe em uma pasta que recebeu permissão de gravação para um usuário autenticado“ Esses serviços são executados como contas de administrador local ou contas de sistema local e, se um usuário substituir um dos arquivos executáveis por outro programa, o programa também usará privilégios de administrador local ou de sistema local , “Philips sugere.Ele também recomenda que “na versão iscv 3. X e anterior e Xcelera 3. X – 4. X, existem 16 serviços do Windows sem aspas em seus nomes de caminho“ Esses serviços são executados com privilégios de administrador local e podem ser iniciados com chaves de registro, que pode fornecer a um invasor uma maneira de colocar arquivos executáveis que concedem privilégios de administrador local.“
Horário da postagem: 10 de dezembro de 2021