Аюулгүй байдлын агентлагийн cve-2018-14787 тайланд дурдсанаар энэ нь давуу эрхийн менежментийн асуудал юм.Philips-ийн intellispace зүрх судасны (iscv) бүтээгдэхүүнүүдэд (iscv хувилбар 2. X эсвэл өмнөх хувилбар болон Xcelera хувилбар 4.1 ба түүнээс өмнөх хувилбарууд) "шинэчлэх эрхтэй халдагчид (гэрчлэгдсэн хэрэглэгчдийг оруулаад) бичих эрхтэй ажиллах боломжтой файлуудын хавтсанд нэвтэрч, дараа нь дурын кодыг ажиллуулж болно. "Эдгээр эмзэг байдлыг амжилттай ашигласнаар локал хандалтын эрхтэй халдагчид болон iscv / Xcelera серверийн хэрэглэгчдэд сервер дээрх зөвшөөрлийг сайжруулж, дур зоргоороо код ажиллуулах боломжтой болно" гэж мэдэгдэлд дурджээ.
Уг мэдэгдэлд cve-2018-14789-д зарласан хоёр дахь сул тал нь iscv 3.1 буюу түүнээс өмнөх хувилбар, Xcelera хувилбар 4.1 буюу түүнээс өмнөх хувилбарууд бөгөөд "хашилтгүй хайлтын зам эсвэл элементийн эмзэг байдал илэрсэн бөгөөд энэ нь халдагчид дур зоргоороо үйлдлийг гүйцэтгэх боломжтой" гэж онцолсон байна. кодлох, давуу эрхийнхээ түвшинг дээшлүүлэх"
Аюулгүй байдлын мэдэгдлийн хариуд Philips "Хэрэглэгчдийн ирүүлсэн гомдлыг баталгаажуулсны үр дүнд iscv хувилбар 2. X ба түүнээс өмнөх хувилбарууд болон Xcelera 3x – 4. X серверүүд дээрх 20 орчим Windows үйлчилгээ гарч байна" гэж мэдэгдэв. Баталгаажсан хэрэглэгчдэд бичих зөвшөөрөл олгосон хавтас" Эдгээр үйлчилгээнүүд нь локал администраторын бүртгэл эсвэл локал системийн бүртгэлээр ажилладаг бөгөөд хэрэв хэрэглэгч гүйцэтгэх файлуудын аль нэгийг өөр програмаар сольсон тохиолдолд програм нь локал администратор эсвэл локал системийн эрхийг ашиглах болно. , "Филипс санал болгож байна.Мөн "iscv 3. X ба түүнээс өмнөх хувилбарууд болон Xcelera 3. X – 4. X хувилбаруудад замынхаа нэрэнд хашилтгүй 16 Windows үйлчилгээ байдаг" Эдгээр үйлчилгээ нь локал администраторын эрхээр ажилладаг бөгөөд бүртгэлийн түлхүүрээр эхлүүлж болно гэж зөвлөж байна. Энэ нь халдагчид локал администраторын эрх олгосон гүйцэтгэгдэх файлуудыг байрлуулах арга замыг өгч болно."
Шуудангийн цаг: 2021 оны 12-р сарын 10