Advantech corrige plusieurs vulnérabilités dans ses produits WebAccess

Advantech a publié une mise à jour de son produit WebAccess pour corriger une douzaine de vulnérabilités.

Parmi les vulnérabilités corrigées, on note :

• 5 vulnérabilités critiques (CVE-2018-7505, CVE-2018-10589, CVE-2018-7499, CVE-2018-8845, CVE-2018-7497) dont l'exploitation permet l'exécution de code arbitraire. Elles sont principalement liées à des défauts de référencement de pointeur, d'autorisations incorrectes, de traversée de chemin et des débordements de tampon ;

• Une vulnérabilité de débordement de tampon (CVE-2018-7503) de criticité élevée (CVSS: 7.5) dont l'exploitation permet de consulter des informations sensibles ;

• Une vulnérabilité de contrôle incorrect de nom de fichier ou chemin permettant à un attaquant de supprimer des fichiers (CVE-2018-7495, CVSS: 7.5) ;

• Une vulnérabilité liée à une erreur de validation d'origine permettant à un attaquant d'accéder illégitimement à des fonctionnalités de l'application (CVE-2018-10591, CVSS: 6.1) ;

• Une gestion des privilèges incorrecte permettant de modifier des fichiers alors que l'accès est en lecture seule (CVE-2018-8841, CVSS: 8.4) ;

• Plusieurs vulnérabilités d'injection SQL permettant lire ou modifier des données (CVE-2018-7501, CVSS: 5.3) ;

• Une exposition d'informations par le biais d'une liste de répertoires permettant l'accès à des fichiers importants qui ne sont normalement pas visibles (CVE-2018-10590, CVSS: 7.5).