CVE-2019-11030
Mirasys VMS před V7.6.1 a 8.x před V8.3.2 špatně zpracovává metodu Mirasys.Common.Utils.Security.DataCrypt v Common.dll v AuditTrailService v SMServer.exe. Tato metoda spouští nezabezpečenou deserializaci v rámci sběrače odpadků .NET, ve kterém může být miniaplikace (obsažená v serializovaném objektu) spuštěna s oprávněními SYSTEM. Útočník musí objekt řádně zašifrovat; jsou však k dispozici pevně zakódované klíče.
MISC: https://www.kyberturvallisuuskeskus.fi/en/vulnerabilities-mirasys-vms-video-management-solution
CVE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-11030
published: 22. 8. 2019
