Divulgación de información en Metasys y BCPro de Johnson Controls
- Metasys System, Versión 8.0 y anteriores
- BCPro (BCM), todas las versiones anteriores a la 3.0.2
El investigador Dan Regalado de Zingbox ha identificado una vulnerabilidad de tipo divulgación de información que afecta a productos de Johnson Controls. Un potencial atacante podría obtener información técnica.
La vulnerabilidad en Metasys se corrigió en la versión v8.1, no obstante, se debe actualizar a la última versión del producto, versión 9.0. Los usuarios de BCPro Workstation deben actualizar a la versión v3.0 para remediar la vulnerabilidad y los de BACnet Router y Gateway deben actualizar a la versión 3.0.2.
Esta vulnerabilidad es producto de la inadecuada gestión de errores de las comunicaciones con el servidor basadas en HTTP, las cuales pueden permitir a un atacante obtener información técnica. Se ha asignado el identificador CVE-2018-10624 a esta vulnerabilidad.
