Pelco Digital Sentry Server 7.18.72.11464 XML External Entity 越界读取漏洞

CVE编号

CVE-2021-27184

利用情况

暂无

补丁情况

N/A

披露时间

2021-02-12

漏洞描述

Pelco Digital Sentry Server 7.18.72.11464 has an XML External Entity vulnerability (exploitable via the DTD parameter entities technique), resulting in disclosure and retrieval of arbitrary data on the affected node via an out-of-band (OOB) attack. The vulnerability is triggered when input passed to the XML parser is not sanitized while parsing the ControlPointCacheShare.xml file (in a %APPDATA%\Pelco directory) when DSControlPoint.exe is executed.

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
https://github.com/vitorespf/Advisories/blob/master/Pelco_Digital_Sentry_Server.txt
https://support.pelco.com/s/article/What-is-the-Digital-Sentry-software-relea...

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	pelco	digital_sentry_server	7.18.72.11464	-

CVSS3评分 7.5

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 未更改
• 用户交互 无
• 可用性 无
• 保密性 高
• 完整性 无

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N CWE-ID 漏洞类型 CWE-611 XML外部实体引用的不恰当限制（XXE）