CVE-2019-25655Device Monitoring Studio 8.10.00.8925版本中存在一个拒绝服务漏洞。该漏洞的成因是应用程序在处理服务器连接对话框时,未能正确过滤用户输入的字符串长度。本地攻击者无需经过身份验证,即可通过“工具”菜单下的“连接到新服务器”功能,输入包含重复字符的超长畸形字符串作为服务器名称或地址。这种恶意输入将触发缓冲区处理错误,导致应用程序异常崩溃,从而造成服务不可用。
该漏洞属于典型的本地拒绝服务漏洞,其根本原因是软件在处理GUI输入时缺乏边界检查。具体攻击路径如下:攻击者在本地运行Device Monitoring Studio,进入连接服务器的设置界面。当输入框接收到攻击者构造的特定长度(通常超长)的字符串时,程序后台的字符串拷贝函数未进行长度校验便尝试将数据写入固定大小的内存缓冲区。由于写入的数据量超过了缓冲区的容量,导致堆栈溢出或内存破坏。根据CVSS向量(AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H),此漏洞利用门槛极低,不需要管理员权限或用户交互。虽然未导致数据泄露或权限提升,但应用程序会因非法内存访问而立即终止,严重影响系统的可用性。