远程主机上运行的 Siemens SINEMA 远程连接服务器受到多个漏洞的影响：

  - Web 界面无法阻止密码猜测攻击。拥有易受功能软件的网络访问权限的攻击者可利用此漏洞，无需特权和用户交互。利用此漏洞可获得对 Web 界面的完全访问权限。(CVE-2019-13918)

  - 非特权用户也可以访问某些本应仅限特权用户访问的页面。拥有网络访问权限和 web 界面有效凭据的攻击者可利用此漏洞。无需用户交互。利用此漏洞可让攻击者访问本应无法读取的信息。受此漏洞影响的信息不包括密码。
    (CVE-2019-13919)

  - Web 应用程序中的某些部分无法抵御跨站请求伪造 (CSRF) 的攻击。能够触发已登录用户向应用发送请求的攻击者可利用此漏洞。利用此漏洞允许切换用户或设备的连接状态。
    (CVE-2019-13920)

  - 拥有管理特权的攻击者可获得已连接设备的密码哈希。拥有对 SINEMA 远程连接服务器的网络访问权限和管理特权的攻击者可利用此安全漏洞。(CVE-2019-13922)

检测

Siemens SINEMA 远程连接服务器多个漏洞 (SSA-884497)

critical Nessus 插件 ID 131402

版本 1.48