Theo báo cáo cve-2018-14787 của cơ quan an ninh, đây là một vấn đề về quản lý đặc quyền.Trong các sản phẩm tim mạch intellispace (iscv) của Philips (iscv phiên bản 2. X trở về trước và Xcelera phiên bản 4.1 trở về trước), “những kẻ tấn công có quyền nâng cấp (bao gồm cả người dùng được xác thực) có thể truy cập vào thư mục chứa các tệp thực thi bằng quyền ghi, sau đó thực thi mã tùy ý với quyền quản trị cục bộ,” thông báo cho biết, “Việc khai thác thành công các lỗ hổng này có thể cho phép kẻ tấn công có quyền truy cập cục bộ và người dùng máy chủ iscv/Xcelera nâng cấp quyền trên máy chủ và thực thi mã tùy ý“
Thông báo cho biết điểm yếu thứ hai được công bố trong cve-2018-14789 là iscv phiên bản 3.1 trở về trước và Xcelera phiên bản 4.1 trở về trước, đồng thời chỉ ra rằng “lỗ hổng phần tử hoặc đường dẫn tìm kiếm không được trích dẫn đã được xác định, có thể cho phép kẻ tấn công thực thi tùy ý mã và nâng cao mức độ đặc quyền của họ“
Đáp lại thông báo bảo mật, Philips cho biết “kết quả xác nhận khiếu nại do khách hàng gửi” là khoảng 20 dịch vụ cửa sổ trên iscv phiên bản 2. X trở về trước và các máy chủ Xcelera 3x – 4. X, trong đó tệp thực thi tồn tại trong một thư mục đã được cấp quyền ghi cho người dùng được xác thực“ Các dịch vụ này chạy dưới dạng tài khoản quản trị viên cục bộ hoặc tài khoản hệ thống cục bộ và nếu người dùng thay thế một trong các tệp thực thi bằng một chương trình khác, chương trình cũng sẽ sử dụng các đặc quyền của quản trị viên cục bộ hoặc hệ thống cục bộ , “Philips gợi ý.Nó cũng khuyến nghị rằng “trong phiên bản iscv 3. X trở về trước và Xcelera 3. X – 4. X, có 16 dịch vụ cửa sổ không có dấu ngoặc kép trong tên đường dẫn của chúng“ Các dịch vụ này chạy với đặc quyền của quản trị viên cục bộ và có thể được khởi động bằng khóa đăng ký, có thể cung cấp cho kẻ tấn công cách đặt các tệp thực thi cấp đặc quyền quản trị viên cục bộ.“
Thời gian đăng: Dec-10-2021