Inicio / Alerta Temprana / Avisos Sci / [Actualización 10/11/2021] Múltiples vulnerabilidades en WebAccess HMI Designeren de Advantech

[Actualización 10/11/2021] Múltiples vulnerabilidades en WebAccess HMI Designeren de Advantech

Fecha de publicación: 
23/06/2021
Importancia: 
4 - Alta
Recursos afectados: 

[Actualización 10/11/2021] WebAccess HMI Designer, versiones anteriores a 2.1.11.0.

Descripción: 

Kimiya, en colaboración con ZDI, y Michael Heinzl han reportado estas vulnerabilidades a CISA que podrían permitir a un atacante la corrupción de la memoria, la ejecución de código, [Actualización 10/11/2021] el secuestro de los tokens de cookies/sesión del usuario y acción involuntaria del navegador.

Solución: 

Los usuarios deben ponerse en contacto con el servicio de atención al cliente de Advantech para obtener más información.

[Actualización 10/11/2021] Actualizar WebAccess HMI Designer a la versión 2.1.11.0.

Detalle: 
  • El análisis de un archivo de proyecto malicioso puede causar un desbordamiento de búfer basado en memoria dinámica (heap), lo que podría permitir a un atacante la ejecución de código arbitrario. Se requiere la interacción del usuario. Se ha asignado el identificador CVE-2021-33000 para esta vulnerabilidad de severidad alta.
  • La apertura de un archivo de proyecto malicioso puede causar una escritura fuera de límites, lo que podría permitir a un atacante ejecutar código arbitrario. Se requiere la interacción del usuario. Se ha asignado el identificador CVE-2021-33002 para esta vulnerabilidad de severidad alta.
  • La corrupción de memoria debida a la validación inadecuada de los archivos suministrados por el usuario, podría permitir a un atacante ejecutar código arbitrario. Se requiere la interacción del usuario. Se ha asignado el identificador CVE-2021-33004 para esta vulnerabilidad de severidad alta.

[Actualización 10/11/2021]

  • Esta vulnerabilidad podría permitir a un atacante enviar código Javascript malicioso que resultara en el secuestro de los tokens de cookies/sesión del usuario, redirigiendo al usuario a una página web maliciosa y realizando una acción no deseada en el navegador. Se ha asignado el identificador CVE-2021-42706 para esta vulnerabilidad alta.

Para la vulnerabilidad baja se ha asignado el identificador CVE-2021-42703.

Encuesta valoración