Inicio / Alerta Temprana / Avisos Sci / Múltiples vulnerabilidades en productos Pilz

Múltiples vulnerabilidades en productos Pilz

Fecha de publicación: 
25/11/2022
Identificador: 
INCIBE-2022-1028
Importancia: 
4 - Alta
Recursos afectados: 
  • PASvisu Software, versiones anteriores a 1.12.0;
  • PMI v5xx, versiones 1.3.58 y anteriores;
  • PMI v7xx, versiones anteriores a 2.2.0;
  • PMI v8xx, versiones anteriores a 1.6.102;
  • PAScal, versiones 1.9.1 y anteriores;
  • PASconnect, versiones anteriores a 1.4.0;
  • PASmotion, versiones anteriores a 1.4.1;
  • PNOZmulti Configurator, versiones anteriores a 11.2.0;
  • PNOZmulti Configurator LTS, versiones anteriores a 10.14.4;
  • PAS4000, versiones anteriores a 1.25.0.
Descripción: 

Pilz ha publicado, en coordinación con el CERT@VDE, varios avisos que recogen información sobre 5 vulnerabilidades: 1 de severidad alta y el resto medias. Un atacante podría explotar estas vulnerabilidades para escribir archivos arbitrarios, permitiendo la ejecución de código.

Solución: 
  • PASvisu software, PMI v7xx y PMI v8xx: configurar una contraseña de administración.
  • Como medida común a todos los productos afectados, instalar la versión correctora correspondiente, disponible en Pilz Shop.
Detalle: 

La vulnerabilidad de severidad alta se debe a una gestión insegura de los nombres de los archivos durante la carga mediante el método mg_http_upload(), y podría permitir a un atacante escribir archivos en ubicaciones arbitrarias fuera de la carpeta de destino designada. Se ha asignado el identificador CVE-2022-25299 para esta vulnerabilidad.

Para el resto de vulnerabilidades se han asignado los identificadores CVE-2022-40977, CVE-2022-40976, CVE-2018-1002202 y CVE-2022-40976.

Encuesta valoración