Inicio / Alerta Temprana / Avisos Sci / Múltiples vulnerabilidades en productos Schneider Electric

Múltiples vulnerabilidades en productos Schneider Electric

Fecha de publicación: 
11/11/2020
Importancia: 
5 - Crítica
Recursos afectados: 
  • M340 CPUs:
    • BMX P34x, todas las versiones.
  • Módulos M340 Communication Ethernet:
    • BMX NOE 0100 (H), todas las versiones;
    • BMX NOE 0110 (H), todas las versiones;
    • BMX NOC 0401, todas las versiones;
    • BMX NOR 0200H, todas las versiones.
  • Procesadores premium con Ethernet COPRO integrado:
    • TSXP574634, TSXP575634 y TSXP576634, todas las versiones.
  • Módulos de comunicación premium:
    • TSXETY4103, todas las versiones;
    • TSXETY5103, todas las versiones.
  • Procesadores quantum con Ethernet COPRO integrado:
    • 140CPU65xxxxx, todas las versiones.
  • Módulos de comunicación quantum:
    • 140NOE771x1, todas las versiones;
    • 140NOC78x00, todas las versiones;
    • 140NOC77101, todas las versiones.
  • EcoStruxure™ Operator Terminal Expert Runtime 3.1 Service Pack 1A y anteriores instalados en:
    • Windows PC usando BIOS en modo legacy;
    • Harmony iPC (HMIG5U, HMIG5U2) usando BIOS en modo legacy.
  • IGSS Definition (Def.exe), versión 14.0.0.20247 y anteriores.
  • EcoStruxure Building Operation:
    • WebReports, versiones desde 1.9, hasta 3.1;
    • WebStation, versiones desde 2.0, hasta 3.1;
    • instalador Enterprise Server, versiones desde 1.9, hasta 3.1;
    • instalador Enterprise Central, versiones desde 2.0, hasta 3.1.
  • Modicon M221, todas las referencias en todas las versiones.
  • Easergy T300, versión de firmware 2.7 y anteriores.
  • PLC Simulator para EcoStruxure™ Control Expert, todas las versiones.
  • PLC Simulator para Unity Pro (llamado anteriormente EcoStruxure™ Control Expert), todas las versiones.
Descripción: 

Schneider Electric ha publicado múltiples vulnerabilidades, 3 con severidad crítica, 16 altas, 9 medias y 2 bajas.

Solución: 

Seguir las instrucciones de actualización y configuración descritas en la sección Remediation de cada aviso del fabricante. Puede localizarlos en la sección Referencias.

Detalle: 

Las vulnerabilidades de severidad crítica aparecen descritas a continuación:

  • Existe una vulnerabilidad, de tipo control de acceso inadecuado, que podría causar una amplia gama de problemas, entre los que se encuentran exposición de información, denegación de servicio (DoS) y ejecución de comandos cuando el acceso a un recurso de un atacante no está restringido o lo está incorrectamente. Se ha asignado el identificador CVE-2020-7561 para esta vulnerabilidad.
  • Existe una vulnerabilidad, de tipo desbordamiento de búfer clásico, que podría causar un bloqueo del simulador de PLC presente en el software EcoStruxure™ Control Expert al recibir una solicitud, especialmente diseñada, a través de Modbus. Se ha asignado el identificador CVE-2020-7559 para esta vulnerabilidad.
  • Existe una vulnerabilidad, de tipo restricción inadecuada de intentos excesivos de autenticación, que podría causar la ejecución de comandos no autorizados cuando se realiza un ataque de fuerza bruta a través de Modbus. Se ha asignado el identificador CVE-2020-28212 para esta vulnerabilidad.

Para el resto de vulnerabilidades, se han asignado los siguientes identificadores: CVE-2020-7562, CVE-2020-7563, CVE-2020-7564, CVE-2020-7544, CVE-2020-7550, CVE-2020-7551, CVE-2020-7552, CVE-2020-7553, CVE-2020-7554, CVE-2020-7555, CVE-2020-7556, CVE-2020-7557, CVE-2020-7558, CVE-2020-7569, CVE-2020-7570, CVE-2020-7571, CVE-2020-7572, CVE-2020-28209, CVE-2020-28210, CVE-2020-7565, CVE-2020-7566, CVE-2020-7567, CVE-2020-7568, CVE-2020-7538, CVE-2020-28211 y CVE-2020-28213.

Encuesta valoración