Johnson Controls Kantech EntraPass嚴重漏洞風險通告
發布時間 2020-03-11漏洞編號和級別
CVE編號：CVE-2019-7589，危險級別：嚴重，CVSS分值：廠商自評：9.8，官方未評定
影響版本
Kantech EntraPass security management software如下版本：
Corporate Edition: v8.10之前所有版本
Global Edition: v8.10之前所有版本
漏洞概述
Johnson Controls Kantech EntraPass是美國江森自控（JohnsonControls）公司的安防管理系統。
Johnson Controls Kantech EntraPass中的SmartService API服務選項存在一個漏洞，未經授權的用戶可能會利用此漏洞將惡意代碼上載到服務器，該服務器可以以系統級權限執行。
漏洞驗證
暫無PoC/EXP。
修復建議
目前官方已發布新版本8.10修復漏洞，鏈接：https://www.johnsoncontrols.com/cyber-solutions/security-advisories。
緩解措施：按如下步驟禁用SmartService API。
1. Disable "Use Web Service" within the EntraPass Software.
2. Disable the SmartService from an admin command prompt.
sc config “Kantech.SmartService” start=disabled
sc stop “Kantech.SmartService”
3. Uninstall the SmartService API from Apps & features.
參考鏈接
https://www.us-cert.gov/ics/advisories/icsa-20-070-04
京公網安備11010802024551號