Access Easy Controller Güvenlik Yaması (CVE-2021-23859) — iQsight Geçiş Denetleyicisi

AEC Güvenlik Yaması hakkında

Bu paket, Access Easy Controller için yayımlanmış CVE-2021-23859 güvenlik yamasıdır. Üreticinin 18 Ekim 2021 tarihli yama notuna göre açık, kimlik doğrulaması yapılmamış bir saldırganın uygulamayı çökertmesine (Denial of Service) imkan vermektedir; sistem bir güvenlik duvarının arkasındaysa saldırı yerelde oturum açmış kullanıcılarla sınırlı kalır. Not, etkilenen sürümleri AEC 2.1.9.0, 2.1.9.1, 2.1.9.2, 2.1.9.3, 2.1.9.4 ve 2.1.9.5 olarak sayar, ilgili sipariş numaralarını APC-AEC21-UPS1 ile ASL-AEC21-SWK olarak verir ve ürün için CVSSv3.1 temel puanının 5.5 (Orta) düzeyinden başladığını belirtir.

Yama, AEC paneliyle birlikte üreticinin kameralarının kullanıldığı kurulumlar için tariflenmiştir. Yama notundaki sıra şudur: önce 6.32.0099 - 2.0.0.4 numaralı ActiveX ile VideoSDK yaması uygulanır; ardından bütün AEC istemci bilgisayarlarında Internet Explorer pencereleri kapatılır, C:\Program Files (x86)\Bosch\VideoSDK6\bin\Bosch.VideoSDK5.BVIP klasöründeki vj_generic.dll dosyası vj_generic.dll_old olarak yeniden adlandırılır ve paketten çıkan vj_generic.dll (dosya sürümü 6.40.54.0) bu klasöre kopyalanır. İşlem bittikten sonra tarayıcı yeniden açılarak panele bağlanılır.

Yama notu, düzeltmenin ürünün sonraki sürümlerinde hazır geleceğini ve elle yamaya gerek kalmayacağını, bu arada 40080 - 40099 TCP kapı aralığının güvenlik duvarında kapatılmasının açık arayüze erişimi engellediğini belirtir. Aynı CVE kaydı Access Professional Edition için de yayımlanmıştır; ancak iki ürünün yama paketleri ayrıdır ve her ürün kendi dosyasıyla güncellenmelidir. Paketin içeriği, yama notu ile tek bir vj_generic.dll dosyasından ibarettir.