Siemens Jt2go 和 Siemens Teamcenter Visualization 代码问题漏洞

CVE编号

CVE-2020-26981

利用情况

暂无

补丁情况

N/A

披露时间

2021-01-13

漏洞描述

JT2Go是一个3D JT查看工具，允许用户查看JT, PDF, Solid Edge, PLM XML与现有的JT， VFZ、CGM、TIF数据。Teamcenter可视化软件使企业能够增强他们的产品生命周期管理(PLM)环境，该软件使企业用户能够在单一环境中访问文档、2D图纸和3D模型。
JT2Go and Teamcenter VisualizationXML外部实体引用不当漏洞，攻击者可利用该漏洞通过特别制作的xml文件访问任意文件获取敏感信息。

解决建议

厂商已发布相关漏洞补丁链接，请及时更新：
https://cert-portal.siemens.com/productcert/pdf/ssa-622830.pdf

参考链接
https://cert-portal.siemens.com/productcert/pdf/ssa-622830.pdf
https://www.zerodayinitiative.com/advisories/ZDI-21-048/

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	siemens	jt2go	*		Up to (excluding) 13.1.0
	运行在以下环境
	应用	siemens	teamcenter_visualization	*		Up to (excluding) 13.1.0

CVSS3评分 5.5

• 攻击路径 本地
• 攻击复杂度 低
• 权限要求 无
• 影响范围 未更改
• 用户交互 需要
• 可用性 无
• 保密性 高
• 完整性 无

CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N CWE-ID 漏洞类型 CWE-611 XML外部实体引用的不恰当限制（XXE）