Inicio / Alerta Temprana / Avisos Sci / Cross-Site Scripting en CompactLogix de Allen‑Bradley

Cross-Site Scripting en CompactLogix de Allen‑Bradley

Fecha de publicación: 
02/03/2016
Importancia: 
3 - Media
Recursos afectados: 

Las versiones afectadas de la plataforma controladora CompactLogix son las siguientes:

  • 1769-L16ER-BB1B, versión 27.011 y anteriores
  • 1769-L18ER-BB1B, versión 27.011 y anteriores
  • 1769-L18ERM-BB1B, versión 27.011 y anteriores
  • 1769-L24ER-QB1B, versión 27.011 y anteriores
  • 1769-L24ER-QBFC1B, versión 27.011 y anteriores
  • 1769-L27ERM-QBFC1B, versión 27.011 y anteriores
  • 1769-L30ER, versión 27.011 y anteriores
  • 1769-L30ERM, versión 27.011 y anteriores
  • 1769-L30ER-NSE, versión 27.011 y anteriores
  • 1769-L33ER, versión 27.011 y anteriores
  • 1769-L33ERM, versión 27.011 y anteriores
  • 1769-L36ERM, versión 27.011 y anteriores
  • 1769-L23E-QB1B, versión 20.018 y anteriores (discontinuado a partir de junio de 2016)
  • 1769-L23E-QBFC1B, versión 20.018 y anteriores (discontinuado a partir de junio de 2016)

[Actualización 31/10/2018]

  • 1756-EN2F
    • Series A, todas las versiones
    • Series B, todas las versiones
  • 1756-EN2T
    • Series A, todas las versiones
    • Series B, todas las versiones
    • Series C, todas las versiones
    • Series D, versión 10.007 y anteriores
  • 1756-EN2TR
    • Series A, todas las versiones
    • Series B, todas las versiones
  • 1756-EN3TR
    • Series A, todas las versiones
Descripción: 

El investigador independiente Aditya Sood ha descubierto una vulnerabilidad de tipo Cross-Site Scripting en el producto CompactLogix de Allen‑Bradley (Rockwell Automation)

Solución: 

[Actualización 31/10/2018]

  • Para 1756-EN2F Series C, 1756-EN2T Series D, 1756-EN2TR Series C, y 1756-EN3TRSeries B, Rockwell Automation recomienda a los usuarios aplicar FRN 10.010 o posterior.
  • Para las versiones anteriores, se recomienda a los usuarios que utilizan las series anteriores de los números de catálogo 1756 EtherNet/IP afectados que evalúen su riesgo y, si es necesario,  que se pongan en contacto con su distribuidor local o con la oficina de ventas para actualizar a una línea de productos más nueva que contenga las mitigaciones pertinentes.
Detalle: 

Esta vulnerabilidad permite a un potencial atacante inyectar código Javascript en el buscador de un usuario sin que sospeche. El objetivo del ataque no es atacar directamente a CompactLogix, siendo éste el vehículo para atacar el navegador web.

Esta vulnerabilidad puede ser aprovechada de forma remota.

Se ha asignado el identificador CVE-2016-2279 para esta vulnerabilidad.

[Actualización 31/10/2018]

Existen exploits públicos para explotar esta vulnerabilidad.