КиберосноваSGRC
BDU:2019-00897
Средний

BDU:2019-00897: Уязвимость WEB-интерфейса микропрограммного обеспечения камер серии Pelco Sarix Enhanced и Spectra Enhanced, позволяющая нарушителю выполнить произвольный JavaScript-код в браузере пользователя

CVSS v38.8
CVSS v26.5
Пересчитать в калькулятореОткрыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2019-00897

Описание

Уязвимость WEB-интерфейса микропрограммного обеспечения камер серии Pelco Sarix Enhanced и Spectra Enhanced связана с недостаточной защитой структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный JavaScript-код в браузере пользователя

Что делать с BDU:2019-00897

Уязвимость среднего уровня (CVSS 8.8) — устраните в рамках планового цикла обновлений. Рекомендуемый срок — 30 дней. Оцените применимость к вашей инфраструктуре через список затронутого ПО.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1
8.8Высокий
Пересчитать →
v2
6.5
Только просмотр
AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HAV:N/AC:L/Au:S/C:P/I:P/A:P

CWE — тип уязвимости

CWE-79

CVE — международный идентификатор

CVE-2018-7827
CWE-79
Межсайтовый скриптинг (XSS)

Позволяет внедрить вредоносный JavaScript-код в веб-страницу, который выполнится в браузере жертвы. Приводит к краже cookies, перенаправлению, подмене контента.

Как атакуют и что делать ▾

Сценарий атаки

Злоумышленник внедряет JavaScript через форму поиска или URL-параметр. При открытии страницы жертвой скрипт выполняется в контексте её сессии.

Последствия

Кража cookies и токенов сессии, перенаправление на фишинг, подмена контента страницы.

Рекомендации

Экранируйте вывод (output encoding), настройте Content-Security-Policy заголовки, валидируйте ввод на сервере.

Тактики и техники

Инъекция

Уязвимое ПО (59)

ВендорНазваниеВерсияПлатформа
Schneider ElectricIndoor Cameras IME3122-1Pдо 2.2.3.0Не указана
Schneider ElectricIndoor Cameras IME3122-B1Sдо 2.2.3.0Не указана
Schneider ElectricIndoor Cameras IME119-1Iдо 2.2.3.0Не указана
Schneider ElectricIndoor Cameras IME119-1Pдо 2.2.3.0Не указана
Schneider ElectricIndoor Cameras IME119-1Sдо 2.2.3.0Не указана
Schneider ElectricIndoor Cameras IME219-1Iдо 2.2.3.0Не указана
Schneider ElectricIndoor Cameras IME219-1Pдо 2.2.3.0Не указана
Schneider ElectricIndoor Cameras IME219-1Sдо 2.2.3.0Не указана
Schneider ElectricIndoor Cameras IME3122-1Iдо 2.2.3.0Не указана
Schneider ElectricIndoor Cameras IME3122-1Sдо 2.2.3.0Не указана
Schneider ElectricIndoor Cameras IME3122-B1Iдо 2.2.3.0Не указана
Schneider ElectricIndoor Cameras IME3122-B1Pдо 2.2.3.0Не указана
Schneider ElectricIndoor Cameras IME319-1Iдо 2.2.3.0Не указана
Schneider ElectricIndoor Cameras IME319-1Pдо 2.2.3.0Не указана
Schneider ElectricIndoor Cameras IME319-1Sдо 2.2.3.0Не указана
Schneider ElectricIndoor Cameras IME319-B1Iдо 2.2.3.0Не указана
Schneider ElectricIndoor Cameras IME319-B1Pдо 2.2.3.0Не указана
Schneider ElectricIndoor Cameras IME319-B1Sдо 2.2.3.0Не указана
Schneider ElectricIndoor Cameras IMES19-1Iдо 2.2.3.0Не указана
Schneider ElectricIndoor Cameras IMES19-1Pдо 2.2.3.0Не указана
Schneider ElectricIndoor Cameras IMES19-1Sдо 2.2.3.0Не указана
Schneider ElectricEnvironmental Cameras Mini Domes IME119-1EIдо 2.2.3.0Не указана
Schneider ElectricEnvironmental Cameras Mini Domes IME119-1EPдо 2.2.3.0Не указана
Schneider ElectricEnvironmental Cameras Mini Domes IME119-1ESдо 2.2.3.0Не указана
Schneider ElectricEnvironmental Cameras Mini Domes IME219-1EIдо 2.2.3.0Не указана
Schneider ElectricEnvironmental Cameras Mini Domes IME219-1EPдо 2.2.3.0Не указана
Schneider ElectricEnvironmental Cameras Mini Domes IME219-1ESдо 2.2.3.0Не указана
Schneider ElectricEnvironmental Cameras Mini Domes IME3122-1EIдо 2.2.3.0Не указана
Schneider ElectricEnvironmental Cameras Mini Domes IME3122-1EPдо 2.2.3.0Не указана
Schneider ElectricEnvironmental Cameras Mini Domes IME3122-1ESдо 2.2.3.0Не указана
Schneider ElectricEnvironmental Cameras Mini Domes IME319-1EIдо 2.2.3.0Не указана
Schneider ElectricEnvironmental Cameras Mini Domes IME319-1EPдо 2.2.3.0Не указана
Schneider ElectricEnvironmental Cameras Mini Domes IME319-1ESдо 2.2.3.0Не указана
Schneider ElectricEnvironmental Cameras Mini Domes IMES19-1EIдо 2.2.3.0Не указана
Schneider ElectricEnvironmental Cameras Mini Domes IMES19-1EPдо 2.2.3.0Не указана
Schneider ElectricEnvironmental Cameras Mini Domes IMES19-1ESдо 2.2.3.0Не указана
Schneider ElectricVandal Resistant Mini Domes IME119-1VIдо 2.2.3.0Не указана
Schneider ElectricVandal Resistant Mini Domes IME119-1VPдо 2.2.3.0Не указана
Schneider ElectricVandal Resistant Mini Domes IME119-1VSдо 2.2.3.0Не указана
Schneider ElectricVandal Resistant Mini Domes IME219-1VIдо 2.2.3.0Не указана
Schneider ElectricVandal Resistant Mini Domes IME219-1VPдо 2.2.3.0Не указана
Schneider ElectricVandal Resistant Mini Domes IME219-1VSдо 2.2.3.0Не указана
Schneider ElectricVandal Resistant Mini Domes IME3122-1VIдо 2.2.3.0Не указана
Schneider ElectricVandal Resistant Mini Domes IME3122-1VPдо 2.2.3.0Не указана
Schneider ElectricVandal Resistant Mini Domes IME3122-1VSдо 2.2.3.0Не указана
Schneider ElectricVandal Resistant Mini Domes IME319-1VIдо 2.2.3.0Не указана
Schneider ElectricVandal Resistant Mini Domes IME319-1VPдо 2.2.3.0Не указана
Schneider ElectricVandal Resistant Mini Domes IME319-1VSдо 2.2.3.0Не указана
Schneider ElectricVandal Resistant Mini Domes IMES19-1VIдо 2.2.3.0Не указана
Schneider ElectricVandal Resistant Mini Domes IMES19-1VPдо 2.2.3.0Не указана

Показано 50 из 59

Рекомендации по устранению

Обновление программного обеспечения: Для Environmental Cameras Mini Domes (IMES19-1EI, IMES19-1ES, IMES19-1EP, IME119-1EI, IME119-1ES, IME119-1EP, IME219-1EI, IME219-1ES, IME219-1EP, IME319-1EI, IME319-1ES, IME319-1EP, IME3122-1EI, IME3122-1ES, IME3122-1EP) и Vandal Resistant Mini Domes (IMES19-1VI, IMES19-1VS, IMES19-1VP, IME119-1VI, IME119-1VS, IME119-1VP, IME219-1VI, IME219-1VS, IME219-1VP, IME319-1VI, IME319-1VS, IME319-1VP, IME3122-1VI, IME3122-1VS, IME3122-1VP) до версии 2.2.3.0: https://www.pelco.com/search#Asset%20Type!Firmware!11002,Cameras!Sarix%20IME%20Series%20Environmental!3016172,Cameras!Sarix%20IME%20Series%20Indoor%20Mini!3016169,Cameras!Sarix%20IME%20Vandal%20Mini!3016171/tab/documents Для Box Cameras (IXES1, IXE11, IXE21, IXE31) до версии 2.2.3.0: https://www.pelco.com/search#Cameras!Sarix%20IXE!3016155/tab/documents Для Spectra Enhanced PTZ (D6220, D6220L, D6230, D6230L) до версии 2.11 или выше: https://www.pelco.com/ptz-ip-cameras/spectra-enhanced-hd-ip-domecamera#downloads Компенсирующие меры для Indoor Cameras (IMES19-1I, IMES19-1S, IMES19-1P, IME119-1I, IME119-1S, IME119-1P, IME219-1I, IME219-1S, IME219-1P, IME319-1I, IME319-1S, IME319-1P, IME319-B1I, IME319-B1S, IME319-B1P, IME3122-1I, IME3122-B1I, IME3122-1S, IME3122-B1S, IME3122-1P, IME3122-B1P): Размещение сети систем управления и безопасности за брандмауэрами и изолирование от деловой сети Установление физического контроля к ICS и контроллерам безопасноти, переферийному оборудованию или ICS и сетям безопасности

SLA ФСТЭК №117

7 дней

по базовой оценке CVSS 8.8

Уточните SLA под вашу среду

Базовый балл 8.8 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Отслеживать (повышенный)

Умеренный риск. Включите в плановый цикл обновлений, следите за изменением EPSS.

EPSS — вероятность эксплуатации0.8%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2019-02-14

Опубликована

2019-03-06

Обновлена

2021-03-23

Эксплойт

Данные уточняются

Исправление

Информация об устранении отсутствует

Статус

Подтверждена производителем

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • SLA-таймеры и эскалация — дедлайны не горят
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2018-7827 MITRE: CWE-79 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК

Связанные уязвимости

BDU:2019-00894
Высокий
7.6

Уязвимость WEB-интерфейса микропрограммного обеспечения камер серии Pelco Sarix Enhanced, позволяющая нарушителю удалить

BDU:2019-00895
Высокий
8.8

Уязвимость WEB-интерфейса микропрограммного обеспечения камер серии Pelco Sarix Enhanced, позволяющая нарушителю выполни

BDU:2019-00896
Высокий
8.8

Уязвимость WEB-интерфейса микропрограммного обеспечения камер серии Pelco Sarix Enhanced, позволяющая нарушителю выполни

BDU:2019-00898
Высокий
8.8

Уязвимость микропрограммного обеспечения камер серий Pelco Sarix Enhanced и Spectra Enhanced, связанная с недостаточной

BDU:2019-00899
Высокий
8.8

Уязвимость микропрограммного обеспечения камер серий Pelco Sarix Enhanced и Spectra Enhanced, связанная с недостаточной

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 85 000+ уязвимостямМодуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.

Калькулятор CVSS v4.0