Inicio / Alerta Temprana / Avisos Sci / Boletín de seguridad de Schneider Electric de junio de 2020

Boletín de seguridad de Schneider Electric de junio de 2020

Fecha de publicación: 
10/06/2020
Importancia: 
5 - Crítica
Recursos afectados: 
  • Modicon M218, versión de firmware 4.3 y anteriores;
  • Unity Loader, todas las versiones;
  • OS Loader, todas las versiones;
  • Modicon LMC078 Logic Controller, versión de firmware 1.51.15.05 y posteriores.
Descripción: 

El CNCERT y el investigador Yang Dong, perteneciente a DingXiang Dongjian Security Lab, han reportado a Schneider Electric 3 vulnerabilidades, de severidades crítica, alta y media, y de tipo uso de credenciales en claro, desreferencia a puntero nulo y escritura fuera de límites, respectivamente.

Solución: 

Seguir las instrucciones de actualización y configuración descritas en la sección Remediation / Available Remediations de cada aviso del fabricante.

Detalle: 

Un atacante que aproveche estas vulnerabilidades podría realizar las siguientes acciones:

  • acceso no autorizado al servicio de transferencia de archivos provisto por los PLC Modicon;
  • el componente IGMP en los parches IPNET CVE de VxWorks 6.8.3 creados en 2019 tiene una referencia de puntero nulo;
  • denegación de servicio cuando se envían paquetes específicos TCP/IP, especialmente diseñados, al controlador lógico Modicon M218.

Para estas vulnerabilidades, se han reservado los identificadores: CVE-2020-7498 y CVE-2020-7502, y se ha asignado CVE-2020-10664.

Encuesta valoración