Inicio / Alerta Temprana / Avisos Sci / Boletín de seguridad de Schneider Electric de abril de 2020

Boletín de seguridad de Schneider Electric de abril de 2020

Fecha de publicación: 
15/04/2020
Importancia: 
4 - Alta
Recursos afectados: 
  • SoMachine, SoMachine Basic y SoMachine Motion, todas las versiones;
  • EcoStruxure Machine Expert y Basic, todas las versiones;
  • Modicon M100/M200/M218/M221/M241/M251/M258 Logic Controller, todas las versiones;
  • Vijeo Designer Basic, versión 1.1 HotFix 15 y anteriores;
  • Vijeo Designer, versión 6.9 SP9 y anteriores;
  • TriStation TS1131, versiones desde 4.0.0 hasta 4.9.0, y 4.10.0, ejecutándose en Windows NT, Windows XP y Windows 7;
  • Tricon, versiones 10.0, 10.1, 10.2.x y 10.3.x;
  • Tricon Communications Module, modelos 4351, 4352, 4351A/B y 4352A/B.
Descripción: 

Seok Min Lim y Johnny Pan, de Trustwave, Rongkuan Ma, Shunkai Zhu y Peng Cheng, de 307Lab y de Zhejiang University, Yongjun Liu, de nsfocus y otro investigador independiente han reportado 8 vulnerabilidades a Schneider Electric, con severidades altas y medias, de neutralización inadecuada de elementos en la salida, validación insuficiente de la autenticidad de los datos, transmisión sin cifrar de datos sensibles, ruta de búsqueda no confiable, denegación de servicio y acceso inadecuado al host.

Solución: 

Seguir las instrucciones de actualización y configuración descritas en la sección Remediation / Available Remediations de cada aviso del fabricante.

Detalle: 

Un atacante que aproveche estas vulnerabilidades podría realizar las siguientes acciones:

  • transferencia de código malicioso al controlador,
  • ejecución de código malicioso,
  • fuga de información sensible,
  • ejecución de código arbitrario,
  • enviar información confidencial en claro,
  • denegación de servicio (DoS),
  • acceso inadecuado a la máquina host;
  • reseteo de módulos en condiciones de alto tráfico en la red.

Para estas vulnerabilidades, se han reservado los siguientes identificadores: CVE-2020-7489, CVE-2020-7487, CVE-2020-7488, CVE-2020-7490, CVE-2020-7483, CVE-2020-7484, CVE-2020-7485 y CVE-2020-7486.

Encuesta valoración