Johnson Controls Metasys Reporting Engine Web Services 路径遍历漏洞

CNNVD-ID编号	CNNVD-202102-1375	CVE编号	CVE-2020-9050
发布时间	2021-02-18	更新时间	2021-02-19
漏洞类型	路径遍历	漏洞来源	N/A
危险等级	高危	威胁类型	N/A
厂商	N/A

漏洞介绍

Johnson Controls Metasys Reporting Engine Web Services是美国Johnson Controls公司的一个系统硬件。提供该网络控制器使用信息技术的最新发展来确保Metasys系统轻松集成并连接到不断扩展的浏览器和远程操作中心。

Johnson Controls Metasys Reporting Engine Web Services 中存在路径遍历漏洞。该漏洞源于未正确清除可解析为受限目录之外位置的路径名元素。成功利用此漏洞可能使未经身份验证的远程攻击者可以从系统访问和下载任意文件。以下产品及版本受到影响：Johnson Controls Metasys Reporting Engine Web Services MRE v2.0，Johnson Controls Metasys Reporting Engine Web Services MRE v2.1

漏洞补丁

目前厂商已发布升级了Johnson Controls Metasys Reporting Engine Web Services 路径遍历漏洞的补丁，Johnson Controls Metasys Reporting Engine Web Services 路径遍历漏洞的补丁获取链接：

https://www.johnsoncontrols.com/-/media/jci/cyber-solutions/product-security-advisories/2021/jci-psa-2021-02.pdf?la=en&hash=4271313986C47A976C42D7C64060256ABBED6134