Phoenix Contact Automation Worx多个缝隙安全公告
颁布功夫 2019-06-26缝隙编号和级别
CVE编号：CVE-2019-12870 ，危险级别：高危 ，CVSS分值厂商自评：7.8 ，官方未评定
CVE编号：CVE-2019-12871 ，危险级别：高危 ，CVSS分值厂商自评：7.8 ，官方未评定
影响版本
受影响的版本
合用于Phoenix Contact Automation Worx Software Suite中的PC Worx 1.86及之前版本、PC Worx Express 1.86及之前版本和Config+ 1.86及之前版本。
缝隙概述
Phoenix Contact Automation Worx Software Suite是德国菲尼克斯电气（Phoenix Contact）公司的一套自动化Worx软件套件。PC Worx是其中的一套节造器编程软件。Config+是其中的一套用于配置和诊断INTERBUS系统的软件。
Phoenix Contact Automation Worx中存在多个缝隙 ，具体如下：
CVE-2019-12869：
该缝隙源于网络系统或产品在内存上执行操作时 ，未正确验证数据天堑 ，导致向关联的其他内存地位上执行了谬误的读写操作。攻击者可利用该缝隙导致缓冲区溢出或堆溢出等。
CVE-2019-12870：
该缝隙源于在接见指针之前短缺适当的指针初始化。攻击者能够利用此缝隙在当前过程的高低文中执行代码
。
CVE-2019-12871：
该缝隙源于在对对象执行操作之前不足验证对象是否存在。攻击者能够利用此缝隙在当前过程的高低文中执行代码。
缝隙验证
暂无POC/EXP。
建复建议
目前厂商已颁布升级补丁以建复缝隙 ，详情请关注厂商主页：
https://www.phoenixcontact.com/
参考链接
https://www.zerodayinitiative.com/advisories/ZDI-19-575/
https://www.zerodayinitiative.com/advisories/ZDI-19-576/
京公网安备11010802024551号