江森自控旗下ExacqVision視頻監控系統暴高危漏洞可致遠程攻擊
知名網絡安全公司Tenable的研究人員在建筑科技巨頭江森自控(Johnson Controls)旗下的Exacq Technologies生產的視頻監控系統中發現了嚴重高危漏洞。Tenable的零日研究團隊在Exacq產品使用的ExacqVision web服務中發現了兩個安全漏洞。Tenable、Johnson Controls和美國網絡安全和基礎設施安全局(CISA)最近發布了描述這些漏洞的咨詢公告。
第一個漏洞稱為直通賬戶安全問題，CVSS評分為9.8分。根據Tenable的說法，受影響的網絡服務允許用戶使用網絡瀏覽器從ExacqVision服務器獲取視頻和其他數據。Web服務充當Web客戶端和服務器之間的中介。
Tenable研究人員發現，如果ExacqVision服務器配置了一個所謂的直通帳戶(pass - through account)，可以用于遠程連接到服務器，未經身份驗證的攻擊者可以濫用它，以這個直通帳戶的特權訪問服務器。
Tenable在其建議中解釋說:“如果直通帳戶具有高權限(即完全管理員角色)，攻擊者可以對ExacqVision服務器有更多的訪問權限，包括添加一個具有完全管理員角色的用戶。”“即使直通帳戶擁有較低的特權(例如，受限制的角色)，攻擊者仍然可以看到更多的特權信息。例如，只有完全管理員或超級用戶角色的用戶才能配置視頻檔案，但較低權限的用戶可以看到存檔配置中的直接搜索用戶名和口令。”
第二個漏洞被描述為一個DoS問題，CVSS評分為8.8分。可以被遠程的、未經身份驗證的攻擊者利用，通過發送特別制作的消息使服務器崩潰。
Tenable告訴《安全周刊》，攻擊可以直接從互聯網上發起，但該公司無法提供有關這些系統的暴露水平的任何信息。
“如果攻擊者發現exaqVision軟件暴露在互聯網上的一個易受攻擊的實例，他們可能能夠在不經過身份驗證的情況下獲得對該軟件的管理權限。這將允許他們更改配置、竊取數據、中斷對exaqVision軟件的訪問，或完全禁用它，”Tenable解釋道。
這些漏洞在7月下旬被報告給供應商，大約一個月后開發了補丁。根據Johnson Controls的說法，這些漏洞會影響32位版本的exacqVision Server 210.06.11.0和更老的版本。用戶可以升級到21.9版本或升級到64位版本，以防止利用這些缺陷。
關于江森自控
美國江森自控有限公司有近130年的控制業經驗，對建筑設施的精通舉世無比。世界各地成千上萬的商業、機構和政府建筑設施的業主和經理請江森自控有限公司為他們提供最舒適、最富成效、最安全和最節能的環境。江森自控公司不斷發展成為一家國際公司，其下三百多間分公司及制造廠遍布美國，加拿大，德國，荷蘭，意大利，日本，瑞士，新加坡，香港及世界各地150多個國家擁有100,000名專業員工，旗下擁有多個業內值得信賴的品牌。
江森自控于 1995 年在中國廣州成立工廠，正式進入中國市場。目前，江森自控在中國有約 9000 名員工，9 家制造工廠，3 處研發基地，40 多個辦事處和 100 多個銷售支持點。
