【漏洞通告】SIEMENS SINEC NMS多个安全漏洞

CVE-ID

名称

说明

CVSS评分

CVE-2021-33722

SIEMENS SINEC NMS路径遍历漏洞

由于对目录的路径名限制不当，SIEMENS SINEC NMS在导出固件容器时存在路径遍历漏洞，可在经过身份验证的情况下利用此漏洞在受影响的系统上创建任意文件或执行代码。

7.2

CVE-2021-33723

SIEMENS SINEC NMS账户接管漏洞

由于授权不当，SIEMENS SINEC NMS存在账户接管漏洞，任何经过身份验证的用户可利用此漏洞访问管理员帐户，以及只有SINEC系统管理员才能访问的功能。

8.8

CVE-2021-33724

SIEMENS SINEC NMS路径遍历漏洞

由于对目录的路径名限制不当，SIEMENS SINEC NMS存在任意文件删除漏洞，可利用此漏洞删除用户控制路径下的任意文件或目录。

6.5

CVE-2021-33725

SIEMENS SINEC NMS路径遍历漏洞

由于对目录的路径名限制不当，SIEMENS SINEC NMS存在任意文件删除漏洞，可利用此漏洞删除用户控制路径下的任意文件或目录。

4.9

CVE-2021-33726

SIEMENS SINEC NMS路径遍历漏洞

由于对目录的路径名限制不当，SIEMENS SINEC NMS存在路径遍历漏洞，且无法正确检查相对路径是否仍在预期的目标目录中，可利用此漏洞删除用户控制路径下的任意文件或目录。

6.5

CVE-2021-33727

SIEMENS SINEC NMS信息泄露漏洞

可在经过身份验证的情况下利用此漏洞下载任何用户的用户配置文件，导致敏感信息泄露。

6.5

CVE-2021-33728

SIEMENS SINEC NMS反序列化漏洞

SIEMENS SINEC NMS允许上传JSON对象，这些对象被反序列化为Java对象。由于对用户提供的内容进行不安全的反序列化，特权用户可利用此漏洞导致代码执行。

7.2

CVE-2021-33729

SIEMENS SINEC NMS SQL 注入漏洞

SIEMENS SINEC NMS 存在SQL 注入漏洞，经过身份验证的用户可通过将固件容器导入受影响的系统并在本地数据库中执行任意命令。

8.8

CVE-2021-33730、CVE-2021-33731、CVE-2021-33732、CVE-2021-33733、CVE-2021-33734、CVE-2021-33735、CVE-2021-33736

SIEMENS SINEC NMS SQL 注入漏洞

SIEMENS SINEC NMS 存在多个SQL 注入漏洞，经过身份验证的用户可通过发送精心制作的请求，实现在本地数据库中执行任意命令。

7.2

版本

日期

修改内容

V1.0

2022-06-20

首次发布