Schneider Electric U.motion Builder SQL Injection Vulnerability

A SQL Injection (CWE-89) vulnerability exists in U.motion Builder software version 1.3.4 which could cause unwanted code execution when an improper set of characters is entered.

CheckOps-Prioritätsindex

8,5/10 Binnen 24 h patchen

Schweregrad9,8

Wahrscheinlichkeit7,2

Ausnutzung4/5

Schweregrad = CVSS. Wahrscheinlichkeit = EPSS (FIRST). Ausnutzung = öffentliche Signale: KEV, EUVD, Ransomware, EPSS über 10 %, ohne Konto.

EPSS · heute 72,5 % höher als 99,4 % aller CVE

CVSS 3.1 9,8 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:

Ausgenutzt seit 1.663 Tagen 15.04.2022

CISA-Frist 06.05.2022 für US-Bundesbehörden

Ausnutzungswahrscheinlichkeit EPSS · FIRST

EPSS-Wahrscheinlichkeit (%)Perzentil unter allen CVE

Ausnutzungssignale 4 / 5

KEV-Katalog (CISA)15.04.2022
In der EUVD ausgenutzt (ENISA)15.04.2022
Von Ransomware genutztnein
EPSS über 10 %72,5 %
Ohne Konto, über das Netzja

Was tun

Beheben

Den Patch des Herstellers einspielen, sobald er verfügbar ist.

Vorgabe der CISA: The impacted product is end-of-life and should be disconnected if still in use.

Bis dahin

Den Dienst vom Internet nehmen oder den Zugriff einschränken, Protokolle überwachen und nach Kompromittierungsspuren suchen.

Hersteller (CRA)

Ausgenutzte Schwachstelle in Ihrem Produkt: Frühwarnung an die ENISA binnen 24 h, dann Meldung binnen 72 h (Artikel 14 des Cyber Resilience Act). Der CRA erklärt

Betroffene Produkte

U.motion Builder software version 1.3.4U.motion Builder

Betroffene Versionen

U.motion Builder software version 1.3.4

Schwächen (CWE)

CWE-89

Open-Source-Pakete OSV

Betroffene Bibliotheken laut OSV, mit behobenen Versionen.

Zeitverlauf

22.05.2019
Veröffentlichung
15.04.2022
Ausnutzung gemeldet (ENISA)
15.04.2022
Aufnahme in den KEV-Katalog
06.05.2022
CISA-Frist zur Behebung
26.09.2026
EPSS-Höchstwert: 72,7 %