Inicio / Alerta Temprana / Avisos Sci / Escalada de privilegios en productos de Phoenix Contact

Escalada de privilegios en productos de Phoenix Contact

Fecha de publicación: 
25/01/2022
Importancia: 
4 - Alta
Recursos afectados: 

FL SWITCH, familia 2xxx, versión 3.00.

Descripción: 

Phoenix Contact, en colaboración con CERT@VDE, ha publicado esta vulnerabilidad que podría permitir a un usuario escalar privilegios y obtener el control del dispositivo.

Solución: 

Actualizar el dispositivo afectado a una versión superior a la 3.00. Puede consultar los enlaces de descarga en la sección de referencias.

Como medida de mitigación se recomienda desactivar el inicio de sesión a través de SSH en los dispositivos con la versión de firmware 3.00. Si el acceso a la CLI es necesario y una conexión cifrada no es necesaria en la aplicación específica se puede utilizar el servicio Telnet no cifrado, que no está afectado por esta vulnerabilidad.

Detalle: 

La gestión de usuarios de la familia de dispositivos FL SWITCH 2xxx implementa derechos de acceso basados en roles y grupos de permisos. Un atacante sin privilegios que inicie sesión a través de la CLI SSH, es asignado automáticamente al rol de administrador, independientemente de su rol de acceso configurado, lo que permite el acceso completo a la configuración del dispositivo. Se ha asignado el identificador CVE-2022-22509 para esta vulnerabilidad.

Encuesta valoración