Inicio / Alerta Temprana / Avisos Sci / Cross-Site scripting en la turbina eólica 442SR de XZERES

Cross-Site scripting en la turbina eólica 442SR de XZERES

Fecha de publicación: 
09/12/2015
Importancia: 
5 - Crítica
Recursos afectados: 

Los siguientes productos de XZERES están afectados:

  • Turbina eólica 442SR
Descripción: 

[ACTUALIZADO 22/02/2017] Los investigadores independientes Karn Ganeshen y Tim Thurlings han encontrado una vulnerabilidad de tipo Cross-Site scripting en la turbina eólica 442SR de XZERES.

Solución: 

[ACTUALIZADO 22/02/2017] XZERES ha desarrollado una pasarela segura como un módulo que se instala en línea entre Internet y la tarjeta del regulador. Una vez instalado este módulo, sólo se permitirá a los usuarios autorizados acceder al sistema. El acceso es otorgado solo a los usuarios verificados a través de XZERES o un distribuidor.

[ACTUALIZADO 22/02/2017] XZERES también ha vendido portatiles conjuntamente con la turbina 442 a algunos usuarios. Estos equipos están preconfigurados por XZERES para utilizar un sistema de conexión remota seguro que proporcionará una protección adecuada frente a esta vulnerabilidad.

[ACTUALIZADO 22/02/2017] XZERES recomienda que cualquier usuario que esté operando turbinas sin el XZERES Secure Gateway y con reenvío de puertos a través de Internet que desactive esta característica para mitigar el riesgo de operación. Para los usuarios que utilizan una solución móvil que no tiene un cortafuegos/router instalado, XZERES recomienda desactivar la conexión a Internet hasta que una de las soluciones recomendadas se hayan implementado.

[ACTUALIZADO 22/02/2017] Para preguntas o dudas acerca de la vulnerabilidad o del acceso remoto, los usuarios pueden comunicarse con el soporte técnico de XZERES o llamar al 1-877-404-9438 (Opción 4) para obtener instrucciones y soporte sobre la implementación de las mitigaciones.

Detalle: 

El sistema operativo de la turbina eólica 442SR reconoce los métodos POST y GET para introducir datos. Usando el método GET, un potencial atacante podría obtener el identificador del navegador y cambiar el identificador del usuario por defecto. El usuario por defecto tiene permisos de administrador para todo el sistema.

Esta vulnerabilidad puede ser aprovechada de forma remota.

Se ha reservado el identificador CVE-2015-0985 para esta vulnerabilidad.

Etiquetas: