Johnson Controls Kantech EntraPass严重误差危害通告
宣布时间 2020-03-11误差编号和级别
CVE编号：CVE-2019-7589，，，，，危险级别：严重，，，，，CVSS分值：厂商自评：9.8，，，，，官方未评定
影响版本
Kantech EntraPass security management software如下版本：
Corporate Edition: v8.10之前所有版本
Global Edition: v8.10之前所有版本
误差概述
Johnson Controls Kantech EntraPass是美国江森自控（JohnsonControls）公司的安防治理系统。。。
Johnson Controls Kantech EntraPass中的SmartService API效劳选项保存一个误差，，，，，未经授权的用户可能会使用此误差将恶意代码上载到效劳器，，，，，该效劳器可以以系统级权限执行。。。
误差验证
暂无PoC/EXP。。。
修复建议
现在官方已宣布新版本8.10修复误差，，，，，链接：https://www.johnsoncontrols.com/cyber-solutions/security-advisories。。。
缓解步伐：按如下办法禁用SmartService API。。。
1. Disable "Use Web Service" within the EntraPass Software.
2. Disable the SmartService from an admin command prompt.
sc config “Kantech.SmartService” start=disabled
sc stop “Kantech.SmartService”
3. Uninstall the SmartService API from Apps & features.
参考链接
https://www.us-cert.gov/ics/advisories/icsa-20-070-04
京公网安备11010802024551号