Inicio / Alerta Temprana / Avisos Sci / Diversas vulnerabilidades en InduSoft Web Studio e InTouch Machine Edition 2014 de Schneider Electric

Diversas vulnerabilidades en InduSoft Web Studio e InTouch Machine Edition 2014 de Schneider Electric

Fecha de publicación: 
27/03/2015
Importancia: 
3 - Media
Recursos afectados: 
  • InduSoft Web Studio, Version 7.1.3.2 y todas las versiones anteriores
  • InTouch Machine Edition 2014, versión 7.1.3.2 y todas las versiones anteriores.
Descripción: 

Gleb Gritsai, Ilya Karpov y Kirill Nesterov del Positive Technologies Security Lab, junto con Alisa Esage Shevcheckno han descubierto diferentes vulnerabilidades en InduSoft Web Studio e InTouch Machine Edition 2014 de Schneider Electric

Solución: 

Para InduSoft Web Studio, se ha lanzado un parche para solucionar esta vulnerabilidad. Este parche, InduSoft Web Studio, Version 7.1.3.4, Service Pack 3, Patch 4, se puede descargar de aquí.

Para InTouch Machine Edition 2014 se proporciona un documento con las acciones necesarias, aquí. Para obtener más detalles es necesario contactar al representante local de Schneider Electric.

Detalle: 

Un atacante que explote estos fallos puede ser capaz de ejecutar código de forma arbitraria desde una red adyacente.

Las vulnerabilidades identificadas se detallan a continuación:
  • Uso de credenciales hard-coded: Hay información sensible que se almacena en los archivos del proyecto y su configuración y que está protegida por una contraseña hard-coded y en claro. Se ha reservado el CVE-2015-0996.
  • Autenticación: Cuando el HMI se conecta al servidor, los nombres de usuario disponibles se muestran en texto claro, permitiendo ataques de fuerza bruta. Se ha reservado la CVE-2015-0997.
  • Envío de información sensible mediante texto en claro: Los credenciales de usuario se envían en claro, permitiendo el acceso al control del sistema a actores malintencionados. Se ha reservado la CVE-2015-0998.
  • Almacenamiento de información sensible mediante texto en claro: Las credenciales de OPC se almacenan sin cifrar en un archivo de configuración. Se ha reservado la CVE-2015-0999.