CNNVD最新漏洞（2019-01-21）

今日CNNVD共发布安全漏洞13个，更新安全漏洞1个。主要影响厂商为日本Omron（5个）、美国Microsoft（2个）、美国Xytronix Research&Design（2个）。主要影响产品为Omron CX-Supervisor控制器（5个）、Microsoft Team Foundation Server团队协作平台（2个）、Xytronix Research&Design ControlByWeb X-320M气象站控制器（1个）。

今日需关注的典型漏洞如下:

【漏洞名称】OmronCX-Supervisor 安全漏洞

【漏洞编号】CNNVD-201901-740（CVE-2018-19019）

【漏洞详情】Omron CX-Supervisor是日本欧姆龙（Omron）公司的一款可视化机器控制器。

Omron CX-Supervisor 3.42及之前版本中存在类型混淆漏洞。攻击者可借助特制的项目文件利用该漏洞以应用程序权限执行代码。

目前厂商已发布升级补丁以修复漏洞，补丁获取链接:

https://www.myomron.com/index.php?action=kb&article=1709

【漏洞链接】

http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201901-740

【漏洞名称】Microsoft Team Foundation Server 跨站脚本漏洞

【漏洞编号】CNNVD-201901-733（CVE-2019-0646）

【漏洞详情】Microsoft Team Foundation Server是美国微软（Microsoft）公司的一套应用程序生命周期管理（ALM）工具套件中的源代码管理、项目管理和团队协作平台。该平台可帮助团队更加灵活、有效地进行协作和更连贯地交付高质量的软件。

Microsoft Team Foundation Server 2018 Update 3.2版本中存在跨站脚本漏洞，该漏洞源于程序没有正确的过滤用户提交的输入。远程攻击者可通过发送特制的负载利用该漏洞在当前用户的安全上下文中运行脚本。

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2019-0646

【漏洞链接】

http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201901-733

【漏洞名称】Xytronix Research&Design ControlByWeb X-320M 授权问题漏洞

【漏洞编号】CNNVD-201901-742（CVE-2018-18881）

【漏洞详情】Xytronix Research&Design ControlByWeb X-320M是美国Xytronix Research&Design公司的一款支持网络的气象站控制器。该产品支持以远程方式查看当前的风速、风向、降水、温度、湿度、太阳辐射和气压等。

Xytronix Research&Design ControlByWeb X-320M中存在授权问题漏洞。攻击者可利用该漏洞造成拒绝服务。

目前厂商已发布升级补丁以修复漏洞，详情请关注厂商主页：

https://www.controlbyweb.com/

【漏洞链接】

http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201901-742

【漏洞名称】Siemens SICAM A8000 Series 安全漏洞

【漏洞编号】CNNVD-201901-744（CVE-2018-13798）

【漏洞详情】Siemens SICAM A8000 CP-800、SICAM A8000 CP-802X和SICAM A8000 CP-8050都是德国西门子（Siemens）公司的一款A8000系列模块化设备。该设备主要用于能源供应领域的远程控制和自动化应用。

Siemens SICAM A8000 Series中存在XML外部实体注入漏洞。攻击者可利用该漏洞造成拒绝服务。以下产品和版本受到影响：Siemens SICAM A8000 CP-8000 V14之前版本；SICAM A8000 CP-802X V14之前版本；SICAM A8000 CP-8050 V2.00之前版本。

目前厂商已发布升级补丁以修复漏洞，补丁获取链接:

https://cert-portal.siemens.com/productcert/pdf/ssa-579309.pdf

【漏洞链接】

http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201901-744

【漏洞名称】ABB CP400PB TextEditor 输入验证漏洞

【漏洞编号】CNNVD-201901-741（CVE-2018-19008）

【漏洞详情】ABB CP400PB是瑞士ABB公司的一套人机界面编程软件。TextEditor是其中的一个文本编辑器。

ABB CP400PB 2.0.7.05及之前版本中的TextEditor 2.0版本的文件解析器存在输入验证漏洞，该漏洞源于程序没有阻止恶意文件的插入。攻击者可利用该漏洞执行任意代码并造成拒绝服务。

目前厂商已发布升级补丁以修复漏洞，补丁获取链接:

https://new.abb.com/products/ABB1SAP500400R0001

【漏洞链接】

http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201901-741