安全研究
安全漏洞
OSIsoft LLC OSIsoft PI SQL Client整数溢出漏洞(CVE-2017-9765)
发布日期:2019-09-10
更新日期:2019-09-11
受影响系统:osisoft PI SQL Client 2018
描述:
CVE(CAN) ID:
CVE-2017-9765
OSIsoft PI SQL Client是可通过SQL查询PI System数据的组件接口。
PI SQL Client 2018 (PI SQL Client OLEDB 2018)在实现中存在远程代码执行漏洞,攻击者利用第三方组件内的漏洞,可以PI SQL Client用户相同权限在客户端中执行任意代码。要利用此漏洞需要与恶意PI SQL Data Access Server (RTQP Engine)通讯。成功利用后可导致远程代码执行、拒绝服务、信息泄露、删除或修改。
<*来源:vendor
*>
建议:
厂商补丁:
osisoft
-------
目前厂商已经发布了PI SQL Client 2018 R2或更高版本修复了这个安全问题,请到厂商的主页下载:
http://techsupport.osisoft.com/Products/
同时建议下列措施以降低风险:
*配置PI SQL Client OLEDB 2018 Data Link Advanced Properties以使用NetTcp (Port 5465),并从网络协议命令中删除Https/Soap (Port 5464)。
*限制PI SQL Client只连接到受信任服务器。
*监控网络架构防止欺骗性攻击。
*监控PI SQL Data Access Servers防止未授权访问。
*用最低权限账户执行PI SQL Client
*在PI SQL Client上使用应用白名单防止未授权代码执行。
浏览次数:2203
严重程度:0(网友投票)
本安全漏洞由绿盟科技翻译整理,版权所有,未经许可,不得转载 绿盟科技给您安全的保障 |