Johnson Controls Kantech EntraPass严重误差危害通告

宣布时间 2020-03-11

误差编号和级别


CVE编号：CVE-2019-7589，，，，，，危险级别：严重，，，，，，CVSS分值：厂商自评：9.8，，，，，，官方未评定


影响版本


Kantech EntraPass security management software如下版本：

Corporate Edition: v8.10之前所有版本

Global Edition: v8.10之前所有版本


误差概述


Johnson Controls Kantech EntraPass是美国江森自控（JohnsonControls）公司的安防治理系统。。。。。。。

Johnson Controls Kantech EntraPass中的SmartService API效劳选项保存一个误差，，，，，，未经授权的用户可能会使用此误差将恶意代码上载到效劳器，，，，，，该效劳器可以以系统级权限执行。。。。。。。


误差验证


暂无PoC/EXP。。。。。。。


修复建议


现在官方已宣布新版本8.10修复误差，，，，，，链接：https://www.johnsoncontrols.com/cyber-solutions/security-advisories。。。。。。。

缓解步伐：按如下办法禁用SmartService API。。。。。。。


1. Disable "Use Web Service" within the EntraPass Software.


万利国际官网(中国游)有限公司


2. Disable the SmartService from an admin command prompt.

sc config “Kantech.SmartService” start=disabled

sc stop “Kantech.SmartService”


万利国际官网(中国游)有限公司


3. Uninstall the SmartService API from Apps & features.


万利国际官网(中国游)有限公司


参考链接


https://www.us-cert.gov/ics/advisories/icsa-20-070-04