漏洞标题
N/A
漏洞描述信息
在3.43 SP0之前，Sprecher Automation SPRECON-E 服务程序中发现了一个问题。在一定的前提条件下，作为非管理员用户，可以执行 Telegram 模拟。作为前提条件，用户必须创建一个在线连接，正确验证和授权为管理员，并执行 Telegram 模拟。之后，在线连接必须关闭。客户端数据的不正确缓存可能导致权限升级，在这种情况下，后续行动的非管理员用户可以执行 Telegram 模拟。为了利用此漏洞，潜在的攻击者需要在 SPRECON RBAC 系统内拥有一个有效的工程账户，以及访问运行 SPRECON-E 服务程序的服务/维护计算机。此外，有效的管理员用户必须在执行 Telegram 模拟之前，在没有关闭程序的情况下，关闭服务连接；攻击者 then 具有访问正在运行的软件实例的能力。因此，外部攻击者的风险为零。
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
漏洞类别
N/A
漏洞标题
N/A
漏洞描述信息
An issue was discovered in Sprecher Automation SPRECON-E Service Program before 3.43 SP0. Under certain preconditions, it is possible to execute telegram simulation as a non-admin user. As prerequisites, a user must have created an online-connection, validly authenticated and authorized as administrator, and executed telegram simulation. After that, the online-connection must have been closed. Incorrect caching of client data then may lead to privilege escalation, where a subsequently acting non-admin user is permitted to do telegram simulation. In order to exploit this vulnerability, a potential attacker would need to have both a valid engineering-account in the SPRECON RBAC system as well as access to a service/maintenance computer with SPRECON-E Service Program running. Additionally, a valid admin-user must have closed the service connection beforehand without closing the program, having executed telegram simulation; the attacker then has access to the running software instance. Hence, there is no risk from external attackers.
CVSS信息
N/A
漏洞类别
N/A
漏洞标题
Sprecher Automation SPRECON-E Service Program 权限许可和访问控制漏洞
漏洞描述信息
Sprecher Automation SPRECON-E Service Program是奥地利Sprecher Automation公司的一套提供包括运行咨询、规划、开发，工程和设备现场安装、调试和操作员培训的服务包应用程序。 Sprecher Automation SPRECON-E Service Program 3.43 SP0之前的版本中存在提权漏洞。攻击者可借助特制的访问权限利用该漏洞获取提升的权限。
CVSS信息
N/A
漏洞类别
授权问题