Inicio / Alerta Temprana / Avisos Sci / Evasión de autenticación en productos de WAGO

Evasión de autenticación en productos de WAGO

Fecha de publicación: 
23/12/2016
Importancia: 
5 - Crítica
Recursos afectados: 
  • WAGO 750-8202/PFC200 anteriores a FW04 (liberados antes de agosto de 2015),
  • WAGO 750-881 anteriores a FW09 (liberados antes de agosto de 2016)
  • WAGO 0758-0874-0000-0111
Descripción: 

El investigador independiente Maxim Rupp ha identificado una evasión de autenticación en los productos de gestión basados en web de Ethernet de la empresa WAGO. Un atacante podría aprovechar esta vulnerabilidad para modificar la configuración sin estar autenticado.

Solución: 

WAGO recomienda las siguientes condiciones de uso para los dispositivos Ethernet:

  • Si no se especifica lo contrario, los dispositivos Ethernet están diseñados para su uso en redes locales. Los usuarios deben tener en cuenta lo siguiente cuando utilicen los dispositivos Ethernet:
    • No conectar los componentes de control y las redes de control a una red abierta, como Internet o la red corporativa. WAGO recomienda poner los componentes de control y las redes de control detrás de un cortafuegos.
    • Limitar el acceso físico y electrónico a todos los componentes de automatización únicamente al personal autorizado.
    • Cambiar las contraseñas por defecto antes del primer uso. Esto reducirá el riesgo de acceso no autorizado a los sistemas.
    • Cambiar las contraseñas regularmente. Esto reducirá el riesgo de acceso no autorizado a los sistemas.
    • Si se requiere acceso remoto a componentes de control y redes de control, utilizar una red privada virtual (VPN).
    • Realizar regularmente análisis de amenazas. Comprobar si las medidas adoptadas cumplen con los requisitos de seguridad de la empresa.
    • Usar mecanismos de "defensa en profundidad" en la configuración de seguridad del sistema para restringir el acceso y el control de productos individuales y redes.
Detalle: 

Accediendo a una URL especifica en el servidor web, un potencial atacante podría ser capaz de editar y ver las configuraciones sin estar autenticado.Se ha reservado el identificador CVE-2016-9362 para esta vulnerabilidad.