Inicio / Alerta Temprana / Avisos Sci / Múltiples vulnerabilidades en el controlador XL Web II de Honeywell

Múltiples vulnerabilidades en el controlador XL Web II de Honeywell

Fecha de publicación: 
03/02/2017
Importancia: 
5 - Crítica
Recursos afectados: 
  • XL1000C500 XLWebExe-2-01-00 y anteriores
  • XLWeb 500 XLWebExe-1-02-08 y anteriores
Descripción: 

El investigador independiente Maxim Rupp ha identificado varias vulnerabilidades que afectan a la aplicación controladora XL Web II de Honeywell. Un potencial atacante remoto podría utilizar estas vulnerabilidades para obtener contraseñas accediendo a una URL específica.

Solución: 

Honeywell ha desarrollado la versión 3.04.05.05 para solucionar estas vulnerabilidades.

Los productos afectados también se distribuyen a través de Centraline bajo el nombre de FALCON. Sus usuarios pueden obtener la última versión contactado con Centraline.

Detalle: 
  • Almacenamiento de credenciales en texto en claro: Cualquier usuario puede tener acceso a las contraseñas accediendo a una URL específica. Se ha reservado el identificador CVE-2017-5139 para esta vulnerabilidad.
  • Credenciales insuficientemente protegidas: Las contraseñas son almacenadas en texto en claro. Se ha reservado el identificador CVE-2017-5140 para esta vulnerabilidad.
  • Control de sesión: Un potencial atacante puede establecer una nueva sesión de usuario sin invalidar los identificadores existentes de sesión, quien tiene la oportunidad de robar la sesión autenticada. Se ha reservado el identificador CVE-2017-5141 para esta vulnerabilidad.
  • Gestión de privilegios inadecuada: Un usuario con pocos privilegios es capaz de abrir y cambiar parámetros accediendo a una URL específica. Se ha reservado el identificador CVE-2017-5142 para esta vulnerabilidad.
  • Salto de directorio: Un usuario sin autenticar puede hacer un ataque de tipo salto de directorio accediendo a una URL específica. Se ha reservado el identificador CVE-2017-5143 para esta vulnerabilidad.

Estas vulnerabilidades pueden ser explotadas de forma remota.

Etiquetas: