Inicio / Alerta Temprana / Avisos Sci / Múltiples vulnerabilidades en productos Schneider Electric

Múltiples vulnerabilidades en productos Schneider Electric

Fecha de publicación: 
14/04/2021
Importancia: 
4 - Alta
Recursos afectados: 
  • SHFK-MT-104 DIVG.424327.104-14;
  • SHFK-MT-104 DIVG.424327.104-09;
  • SHFK-MT-104 DIVG.424327.104-08;
  • SHFK-MT-104 DIVG.424327.104-24;
  • SHFK-MT-104 DIVG.424327.104-10;
  • SHFK-MT-104 DIVG.424327.104-27;
  • SHFK-MT-104 DIVG.424327.104-28;
  • SHFK-MT-104 DIVG.424327.104-30;
  • SHFK-MT-104 DIVG.424327.104-25;
  • SHASU-MT-107 DIVG.424327.107-02;
  • SHASU-MT-107 DIVG.424327.107-01;
  • SHAIIS-MT-111 DIVG.424327.111-04;
  • SHAIIS-MT-111 DIVG.424327.111-06;
  • SHAIIS-MT-111 DIVG.424327.111-08;
  • SHAIIS-MT-111 DIVG.424327.111-11;
  • SHAIIS-MT-111 DIVG.424327.111-02;
  • SHAIIS-MT-111 DIVG.424327.111-14;
  • SHAIIS-MT-111 DIVG.424327.111-16;
  • SHAIIS-MT-111 DIVG.424327.111-19;
  • SHAIIS-MT-111 DIVG.424327.111-20;
  • SHAIIS-MT-111 DIVG.424327.111-12;
  • C-Bus Toolkit, versión 1.15.7 y anteriores.
Descripción: 

Se han publicado varias vulnerabilidades, 5 de severidad alta y 2 medias, que podrían permitir a un atacante omitir la comprobación NTLM MIC o escalar privilegios.

Solución: 

Aplicar:

Detalle: 
  • Una vulnerabilidad en el componente Win32k, de gestión incorrecta de los objetos en la memoria, podría permitir a un atacante la escalada de privilegios. Se ha asignado el identificador CVE-2019-0803 para esta vulnerabilidad.
  • Una vulnerabilidad de gestión de privilegios inadecuada podría permitir la ejecución remota de código cuando un usuario sin privilegios modifica un archivo. Se ha asignado el identificador CVE-2021-22716 para esta vulnerabilidad.
  • Una vulnerabilidad de limitación inadecuada de un nombre de ruta a un directorio restringido (path traversal) podría permitir la ejecución remota de código al procesar archivos de configuración. Se ha asignado el identificador CVE-2021-22717 para esta vulnerabilidad.
  • Una vulnerabilidad de limitación inadecuada de un nombre de ruta a un directorio restringido (path traversal) podría permitir la ejecución remota de código al restaurar archivos de configuración. Se ha asignado el identificador CVE-2021-22718 para esta vulnerabilidad.

Para el resto de vulnerabilidades se han asignado los identificadores: CVE-2021-22720 y CVE-2019-1040.

Encuesta valoración