CVE-2018-7841

Schneider Electric U.motion Builder

ВЫСОКАЯ ВЕРОЯТНОСТЬ
Дата обнаружения

2022-04-15

Официальное описание

A SQL Injection vulnerability exists in U.motion Builder software which could cause unwanted code execution when an improper set of characters is entered.

🛡️
Технический анализ и план устранения

Суть уязвимости

Уязвимость SQL-инъекции в веб-интерфейсе Schneider Electric U.motion Builder. Злоумышленник может внедрить произвольный SQL-код в параметры приложения, отправляя специально сформированные HTTP-запросы. Это может привести к выполнению нежелательных команд в базе данных, чтению, изменению или удалению данных, а в некоторых случаях — к выполнению кода на сервере.

Как исправить

Установите обновление от Schneider Electric, которое устраняет эту уязвимость.

  1. Определите текущую версию U.motion Builder.
  2. Загрузите и установите патч с официального портала Schneider Electric (требуется учетная запись):
    • Исправление включено в U.motion Builder 1.3.4 и более поздние версии.
    • Для более старых версий (1.2.x, 1.3.1 - 1.3.3) обратитесь к бюллетеню безопасности SEVD-2019-045-01 на сайте Schneider Electric для получения конкретного патча.
  3. Процесс обновления (общий):
    • Создайте полную резервную копию проекта и системы.
    • Остановите службу U.motion Builder.
    • Запустите установщик обновления с правами администратора.
    • Следуйте инструкциям мастера установки.
    • После установки перезапустите службу и проверьте работоспособность.

Временное решение

Если немедленная установка обновления невозможна, примените следующие меры:

  1. Сетевой уровень:

    • Ограничьте доступ к веб-интерфейсу U.motion Builder с помощью брандмауэра. Разрешите подключения только с доверенных IP-адресов (административных станций, VPN).
    • Если внешний доступ не требуется, полностью заблокируйте входящие подключения к портам веб-интерфейса (обычно 80/tcp, 443/tcp) на корпоративном межсетевом экране.

  2. Уровень приложения (WAF):

    • Настройте Web Application Firewall (WAF) (например, ModSecurity для Apache/Nginx) перед U.motion Builder. Активируйте правила для блокировки типовых атак SQL-инъекций.
    • Пример базового правила ModSecurity для блокировки распространенных SQL-инъекций (добавьте в конфигурацию WAF): apache SecRule ARGS "@detectSQLi" "id:1000,phase:2,log,deny,status:403,msg:'SQL Injection Attack Detected'"

  3. Важно: Временные решения лишь снижают риск эксплуатации и не заменяют установку официального патча. Запланируйте обновление в кратчайшие возможные сроки.

Рекомендации сформированы автоматически на основе баз знаний (CISA/NVD/ФСТЭК) и технической документации вендора. Всегда тестируйте патчи в песочнице перед продакшном.
← Вернуться к списку уязвимостей