Inicio / Alerta Temprana / Avisos Sci / Múltiples vulnerabilidades en productos Westermo

Múltiples vulnerabilidades en productos Westermo

Fecha de publicación: 
25/08/2017
Importancia: 
5 - Crítica
Recursos afectados: 
  • MRD-305-DIN en versiones anteriores a la 1.7.5.0
  • MRD-315, MRD-355 y MRD-455 en versiones anteriores a la 1.7.5.0
Descripción: 

El investigador Mandar Jadhav ha identificado múltiples vulnerabilidades las cuales permiten a un atacante remoto obtener las llaves criptográficas y las credenciales embedidas en el código fuente de los programas o engañar al usuario para que realice una petición maliciosa. De esta manera el atacante puede llegar a conseguir acceso no autorizado al sistema además de la capacidad de ejecutar código arbitrario en el mismo.

Solución: 

El fabricante recomienda a los usuarios que instalen las actualizaciones de seguridad las cuales pueden ser encontradas aquí.

Además Westermo ha publicado el aviso de seguridad en su sitio que puede ser visitado desde este enlace.

Detalle: 
  • Falsificación de petición de sitios cruzados (cross-site request forgery): la aplicación no comprueba si una petición fue intencionadamente realizada por el usuario. Se ha reservado el identificador CVE-2017-12703 para esta vulnerabilidad.
  • Uso de credenciales embedidas en el código fuente: el dispositivo utiliza credenciales embedidas en el código fuente de la aplicación permitiendo así el acceso local no autorizado con bajos privilegios. Se ha reservado el identificador CVE-2017-12709 para esta vulnerabilidad.
  • Uso de llaves criptográficas embedidas: el dispositivo utiliza llaves criptográficas privadas las cuales pueden permitir a un atacante descifrar el tráfico desde cualquier otra fuente. Se ha reservado el identificador CVE-2017-5816 para esta vulnerabilidad.