Inicio / Alerta Temprana / Avisos Sci / Múltiples vulnerabilidades Ecava IntegraXor

Múltiples vulnerabilidades Ecava IntegraXor

Fecha de publicación: 
15/04/2016
Importancia: 
5 - Crítica
Recursos afectados: 

Las siguientes versiones de Ecava IntegraXor están afectadas:

  • IntegraXor, versiones anteriores a Version 5.0, (build 4522)
Descripción: 

Los investigadores de seguridad Marcus Richerson y Steven Seeley de Incite, trabajando en Zero Day Inititative de Trend Micro, han identificado vulnerabilidades en la aplicación Ecava IntegraXor.

Solución: 

Ecava ha desarrollado una nueva versión que corrige las vulnerabilidades reportadas, así como algunos riesgos de seguridad identificados, en la Versión 5.0, (build 4522). Ecava ha resuelto la inyección de SQL autenticado y asociado con las cuentas de operador y supervisor. Ecava prevé tratar el riesgo restante de las cuentas de administrador en una próxima versión. La nueva versión del software Ecava IntegraXor, Versión 5.0, (build 4522) está disponible para su descarga.

Ecava recomienda descargar la versión más reciente para hacer frente a las vulnerabilidades identificadas.

Detalle: 

La explotación de estas vulnerabilidades podría permitir a un atacante remoto obtener acceso completo a un sistema afectado.

  • Transmisión en texto plano de información sensible: El servidor web IntegraXor HMI transmite información confidencial sin cifrar. Se ha reservado el identificador CVE-2016-2306 para la siguiente vulnerabilidad.
  • Cross-site scripting: La aplicación es vulnerable a Objetos de Modelo de Documento (DMO) basándose en XSS, que puede ser explotada mediante la inclusión de HTML y Javascript malicioso en la URL. Si el operador HMI estuviera utilizando la aplicación SCADA y hace click en un vínculo, este podría llevarle a un sitio web malicioso, donde un atacante sería capaz de realizar funciones maliciosas en el software SCADA usando Javascript. Se ha reservado el identificador CVE-2016-2305 para la siguiente vulnerabilidad.
  • Filtrado incorrecto de sintaxis XSS: La aplicación no establece el indicador HTTPOnly en la cookie de sesión, que puede permitir a un atacante remoto robar la cookie y volver a reenviarla para iniciar la sesión como un usuario administrador. Se ha reservado el identificador CVE-2016-2304 para la siguiente vulnerabilidad.
  • Filtrado incorrecto de secuencias CRLF en cabeceras HTTP: El IntegraXor HMI no filtra elementos especiales en las entradas. Se ha reservado el identificador CVE-2016-2303 para la siguiente vulnerabilidad.
  • Autorización incorrecta: La aplicación no comprueba correctamente si un usuario se ha autenticado antes de acceder a algunas páginas web sensibles. Se ha reservado el identificador CVE-2016-2300 para la siguiente vulnerabilidad.
  • Inyección SQL: La aplicación es vulnerable a la inyección de SQL no autenticado que puede permitir a un atacante ejecutar código de forma remota en ciertas situaciones. Se ha reservado el identificador CVE-2016-2299 para la siguiente vulnerabilidad.
  •  Exposición de información: La aplicación utiliza mensajes de error detallados que podrían ser utilizados por un atacante para extraer información que podría ser utilizada en un ataque. Se ha reservado el identificador CVE-2016-2302 para la siguiente vulnerabilidad.
  • Inyección SQL: La aplicación es vulnerable a la inyección de SQL autenticado que pueden permitir a un atacante extraer información acerca de la base de datos y explotar aún más la aplicación. Se ha reservado el identificador CVE-2016-2301 para la siguiente vulnerabilidad.
Etiquetas: