Varias vulnerabilidades en múltiples sistemas de Marel
Fecha de publicación:
05/04/2017
Importancia:
5 -
Crítica
Recursos afectados:
- Terminales M3000 y M3210, software de escritorio M3000 y controlador MAC4 asociados con los siguientes sistemas:
- A320
- A325
- A371
- A520 Master
- A520 Slave
- A530
- A542
- A571
- Check Bin Grader
- FlowlineQC T376
- IPM3 Dual Cam v132
- IPM3 Dual Cam v139
- IPM3 Single Cam v132
- P520
- P574
- SensorX13 QC flow line
- SensorX23 QC Master
- SensorX23 QC Slave
- Speed Batcher
- T374
- T377
- V36
- V36B
- V36C
- Máquinas de rayos X SensorX23 y SensorX25
- Sistema de pesaje MWS2
Descripción:
El investigador independiente Daniel Lance ha identificado dos vulnerabilidades de tipo contraseñas embebidas y carga de ficheros sin restricciones que afectan a los sistemas de procesamiento de comida de Marel. Un potencial atacante remoto podría ganar acceso administrativo no autorizado a los dispositivos.
Solución:
Marel no ha desarrollado ningún plan de mitigación para estas vulnerabilidades.
El ICS-CERT recomienda a los usuarios que tomen medidas defensivas para minimizar el riesgo de exposición, como:
- Asegurarse que los puertos no usados están cerrados.
- Asegurarse que se siguen buenas prácticas en el diseño de redes, que incluya separación y segmentación de redes.
- Usar DMZ y cortafuegos adecuadamente configurados para controlar y monitorizar el trafico entre diferentes zonas.
- Minimizar la exposición de al red para todos los sistemas y dispositivos de los sistemas de control y asegurarse que no son accesibles desde internet.
- Posicionar las redes y los dispositivos remotos de los sistemas de control detrás de cortafuegos, y aislarlos de la red corporativa.
- Cuando el acceso remoto es requerido, utilizar métodos seguros, como VPN, reconociendo que dichas VPN pueden tener vulnerabilidades y deberían estar actualizadas a la última versión disponible. Reconocer también que la VPN es tan segura como los dispositivos que conecta.
Detalle:
Las vulnerabilidades identificadas son:
- Uso de contraseñas embebidas: El usuario final no tiene la posibilidad de cambiar las contraseñas del sistema. Se ha reservado el identificador CVE-2016-9358 para esta vulnerabilidad.
- Carga de ficheros no controlada: Esta vulnerabilidad permitiría a un potencial atacante modificar la operación y subir cambios de firmware sin ser detectado. Se ha reservado el identificador CVE-2017-6041 para esta vulnerabilidad.
Referencias:
Etiquetas: