Vulnerabilidad en la familia de productos Web Services de Metasys de Johnson Control. (CVE-2020-9044)
Gravedad CVSS v3.1:
CRÍTICA
Tipo:
CWE-611
Restricción incorrecta de referencia a entidad externa XML (XXE)
Fecha de publicación:
10/03/2020
Última modificación:
11/03/2020
Descripción
Hay la vulnerabilidad de tipo XXE, en la familia de productos Web Services de Metasys, que tiene el potencial de facilitar ataques de DoS o la recolección de archivos de servidor ASCII. Esto afecta a Metasys Application and Data Server (ADS, ADS-Lite) versiones 10.1 y anteriores; Metasys Extended Application and Data Server (ADX) versiones 10.1 y anteriores; Metasys Open Data Server (ODS) versiones 10.1 y anteriores; Metasys Open Application Server (OAS) versión 10.1; Metasys Network Automation Engine (solo NAE55) versiones 9.0.1, 9.0.2, 9.0.3, 9.0.5, 9.0.6; Metasys Network Integration Engine (NIE55/NIE59) versiones 9.0.1, 9.0.2, 9.0.3, 9.0.5, 9.0.6; Metasys NAE85 and NIE85 versiones 10.1 y anteriores; Metasys LonWorks Control Server (LCS) versiones 10.1 y anteriores; Metasys System Configuration Tool (SCT) versiones 13.2 y anteriores; Metasys Snake Control Network Automation Engine (NAE55, UL 864 UUKL/ORD-C100-13 UUKLC 10th Edición Listad) versión 8.1, todas de Johnson Control.
Impacto
Puntuación base 3.x
9.10
Gravedad 3.x
CRÍTICA
Puntuación base 2.0
6.40
Gravedad 2.0
MEDIA
Productos y versiones vulnerables
CPE | Desde | Hasta |
---|---|---|
cpe:2.3:a:johnsoncontrols:metasys_application_and_data_server:*:*:*:*:*:*:*:* | 10.1 (incluyendo) | |
cpe:2.3:a:johnsoncontrols:metasys_application_and_data_server:*:*:*:*:lite:*:*:* | 10.1 (incluyendo) | |
cpe:2.3:a:johnsoncontrols:metasys_extended_application_and_data_server:*:*:*:*:*:*:*:* | 10.1 (incluyendo) | |
cpe:2.3:a:johnsoncontrols:metasys_lonworks_control_server:*:*:*:*:*:*:*:* | 10.1 (incluyendo) | |
cpe:2.3:a:johnsoncontrols:metasys_open_application_server:10.1:*:*:*:*:*:*:* | ||
cpe:2.3:a:johnsoncontrols:metasys_open_data_server:*:*:*:*:*:*:*:* | 10.1 (incluyendo) | |
cpe:2.3:a:johnsoncontrols:metasys_system_configuration_tool:*:*:*:*:*:*:*:* | 13.2 (incluyendo) | |
cpe:2.3:o:johnsoncontrols:nae55_firmware:9.0.1:*:*:*:*:*:*:* | ||
cpe:2.3:o:johnsoncontrols:nae55_firmware:9.0.2:*:*:*:*:*:*:* | ||
cpe:2.3:o:johnsoncontrols:nae55_firmware:9.0.3:*:*:*:*:*:*:* | ||
cpe:2.3:o:johnsoncontrols:nae55_firmware:9.0.5:*:*:*:*:*:*:* | ||
cpe:2.3:o:johnsoncontrols:nae55_firmware:9.0.6:*:*:*:*:*:*:* | ||
cpe:2.3:h:johnsoncontrols:nae55:-:*:*:*:*:*:*:* | ||
cpe:2.3:o:johnsoncontrols:nie55_firmware:9.0.1:*:*:*:*:*:*:* | ||
cpe:2.3:o:johnsoncontrols:nie55_firmware:9.0.2:*:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página