Inicio / Alerta Temprana / Avisos Sci / Múltiples vulnerabilidades en Profinet SDK de Phoenix Contact

Múltiples vulnerabilidades en Profinet SDK de Phoenix Contact

Fecha de publicación: 
28/03/2022
Importancia: 
5 - Crítica
Recursos afectados: 

Profinet SDK, versión 6.0 y superiores, hasta la anterior a 6.6.

Descripción: 

Se han detectado 15 vulnerabilidades, de severidades crítica y alta, en la librería de parseo Expat XML (libexpat).

Un atacante remoto y anónimo podría explotarlas para realizar un desbordamiento de enteros, causar un consumo incontrolado de recursos, generar una codificación incorrecta, escapar la salida o exponer el recurso a una esfera incorrecta para ejecutar código arbitrario al cargar archivos XML especialmente diseñados.

PHOENIX CONTACT agradece al CERT@VDE la coordinación y el soporte a la publicación de este aviso.

Solución: 
  • Utilzar solo conexiones de confianza entre las herramientas de ingeniería y los dispositivos que ejecutan la pila Profinet.
  • Actualizar libexpat a la versión 2.4.6 o superiores.
  • Actualizar Profinet SDK a la versión 6.6 o superiores.
Detalle: 

Las vulnerabilidades críticas se clasifican a continuación:

  • Desbordamiento de enteros en diversas funciones de la librería xmlparse.c: se han asignado los identificadores: CVE-2021-46143, CVE-2022-22822, CVE-2022-22823, CVE-2022-22824, CVE-2022-22825, CVE-2022-22826, CVE-2022-22827, CVE-2022-23852, CVE-2022-23990, CVE-2022-25315 y CVE-2022-25314 para estas vulnerabilidades.
  • Xmltok_impl.c en libexpat carece de cierta validación de la codificación, como la comprobación de si un carácter UTF-8 es válido en un contexto determinado. Se ha asignado el identificador CVE-2022-25235 para esta vulnerabilidad.
  • Xmlparse.c en libexpat podría permitir a los atacantes insertar caracteres separadores de nombres en URI de espacios de nombres. Se ha asignado el identificador CVE-2022-25236 para esta vulnerabilidad.

Para las vulnerabilidades de severidad alta se han asignado los identificadores: CVE-2021-45960 y CVE-2022-25313.

Encuesta valoración