Inicio / Alerta Temprana / Avisos Sci / Múltiples vulnerabilidades en productos PI System de OSIsoft

Múltiples vulnerabilidades en productos PI System de OSIsoft

Fecha de publicación: 
14/06/2017
Importancia: 
4 - Alta
Recursos afectados: 
  • PI Data Archive, versiones anteriores a 2017.
  • PI Web API, versiones anteriores a 2017 (1.9.0).
Descripción: 

El propio fabricante OSIsoft ha reportado varias vulnerabilidades que afectan a los productos de la gama PI System. Un atacante remoto podría aprovechar estas vulnerabilidades para suplantar el PI Server, causar comportamientos indefinidos en el sistema o acceder con los privilegios de un usuario legítimo, consiguiendo la modificación de datos si el usuario tiene suficientes privilegios.

Solución: 

OSIsoft recomienda a los usuarios que actualicen PI Web API a la última versión, 2017 (1.9.0), y habiliten la defensa contra CSRF. Una nueva instalación de PI Web API habilita la defensa contra CSRF por defecto, pero para las actualizaciones ha de hacerse de forma manual fijando a valor TRUE el atributo EnableCSRFDefense en la configuración de PI Web API. Para más información sobre este aviso se puede consultar la alerta https://techsupport.osisoft.com/Troubleshooting/Alerts/AL00316.

Los usuarios de PI Data Archive deben actualizar también a la última versión, 2017. Para más información sobre este aviso se puede consultar la alerta https://techsupport.osisoft.com/Troubleshooting/Alerts/AL00315.

Detalle: 

Las vulnerabilidades publicadas son:

  • Debilidades en el sistema de autenticación: Un potencial atacante remoto puede cambiar ciertos parámetros en el protocolo de comunicación llegando a suplantar el PI Server. Se ha reservado el identificador CVE-2017-7930 para esta vulnerabilidad.
  • Debilidades en el sistema de autenticación: Un potencial atacante remoto puede aprovecharse de ciertas brechas de seguridad en el protocolo usado por el PI Network Manager para autenticarse contra el servidor, comprometiendo el comportamiento del propio PI Network Manager. Se ha reservado el identificador CVE-2017-7934 para esta vulnerabilidad.
  • Cross-Site Request Forgery (CSRF): Un potencial atacante remoto puede aprovecharse de un navegador autenticado en Pi System previamente para realizar peticiones suplantando al usuario legítimo. Se ha reservado el identificador CVE-2017-7926 para esta vulnerabilidad.

Las vulnerabilidades de debilidades en la autenticación afectan al producto PI Data Archive, mientras que el CSRF afecta a PI Web API.