> OSIsoft PI AF和PI SQL for AF 安全漏洞

OSIsoft PI AF和PI SQL for AF 安全漏洞

CNNVD-ID编号	CNNVD-201505-543	CVE编号	CVE-2015-1013
发布时间	2015-05-26	更新时间	2015-05-26
漏洞类型	SQL注入	漏洞来源	N/A
危险等级	中危	威胁类型	远程
厂商	osisoft

漏洞介绍

OSIsoft PI AF（Asset Framework）是美国OSIsoft公司的一套可为资产定义一致的呈现方式并提供结构化信息的资产框架，它支持将资产属性与关系数据库进行关联、基于资产的数据分析和应用计算等。PI SQL for AF是其中的一个SQL访问接口。

OSIsoft PI AF 2.6版本和2.7版本和PI SQL for AF 2.1.2.19版本中存在安全漏洞，该漏洞源于程序向PI SQL(AF)Trusted Users组插入Everyone账户。远程攻击者可借助SQL语句利用该漏洞绕过既定的命令限制。

漏洞补丁

目前厂商已经发布了升级补丁以修复此安全问题，补丁获取链接：

https://techsupport.osisoft.com/Troubleshooting/Alerts/AL00280

参考网址

来源:US-CERT Vulnerability Note:ics-cert.us-cert.gov

链接：https://ics-cert.us-cert.gov/advisories/ICSA-15-132-01

受影响实体

Osisoft Pi_sql_for_af:2.1.2.19 Osisoft Pi_server:2.6

信息来源

http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201505-543