Phoenix Contact Automation Worx多个缝隙安全公告

颁布功夫 2019-06-26

缝隙编号和级别


CVE编号：CVE-2019-12869，，，，，危险级别：低危，，，，，CVSS分值厂商自评：3.3，，，，，官方未评定
CVE编号：CVE-2019-12870，，，，，危险级别：高危，，，，，CVSS分值厂商自评：7.8，，，，，官方未评定

CVE编号：CVE-2019-12871，，，，，危险级别：高危，，，，，CVSS分值厂商自评：7.8，，，，，官方未评定


影响版本


受影响的版本


合用于Phoenix Contact Automation Worx Software Suite中的PC Worx 1.86及之前版本、PC Worx Express 1.86及之前版本和Config+ 1.86及之前版本。。。。。


缝隙概述


Phoenix Contact Automation Worx Software Suite是德国菲尼克斯电气（Phoenix Contact）公司的一套自动化Worx软件套件。。。。。PC Worx是其中的一套节造器编程软件。。。。。Config+是其中的一套用于配置和诊断INTERBUS系统的软件。。。。。


Phoenix Contact Automation Worx中存在多个缝隙，，，，，具体如下：


CVE-2019-12869：


该缝隙源于网络系统或产品在内存上执行操作时，，，，，未正确验证数据天堑，，，，，导致向关联的其他内存地位上执行了谬误的读写操作。。。。。攻击者可利用该缝隙导致缓冲区溢出或堆溢出等。。。。。


CVE-2019-12870：


该缝隙源于在接见指针之前短缺适当的指针初始化。。。。。攻击者能够利用此缝隙在当前过程的高低文中执行代码

。。。。。

CVE-2019-12871：


该缝隙源于在对对象执行操作之前不足验证对象是否存在。。。。。攻击者能够利用此缝隙在当前过程的高低文中执行代码。。。。。


缝隙验证


暂无POC/EXP。。。。。


建复建议


目前厂商已颁布升级补丁以建复缝隙，，，，，详情请关注厂商主页：

https://www.phoenixcontact.com/


参考链接


https://www.zerodayinitiative.com/advisories/ZDI-19-579/
https://www.zerodayinitiative.com/advisories/ZDI-19-575/
https://www.zerodayinitiative.com/advisories/ZDI-19-576/