Inicio / Alerta Temprana / Avisos Sci / Varias vulnerabilidades en productos ClearSCADA de Schneider Electric.

Varias vulnerabilidades en productos ClearSCADA de Schneider Electric.

Fecha de publicación: 
17/09/2014
Importancia: 
3 - Media
Recursos afectados: 

Las siguientes versiones de StruxureWare SCADA Expert ClearSCADA están afectadas:

  • ClearSCADA 2010 R3 (build 72.4560)
  • ClearSCADA 2010 R3.1 (build 72.4644)
  • SCADA Expert ClearSCADA 2013 R1 (build 73.4729)
  • SCADA Expert ClearSCADA 2013 R1.1 (build 73.4832)
  • SCADA Expert ClearSCADA 2013 R1.1a (build 73.4903)
  • SCADA Expert ClearSCADA 2013 R1.2 (build 73.4955)
  • SCADA Expert ClearSCADA 2013 R2 (build 74.5094)
  • SCADA Expert ClearSCADA 2013 R2.1 (build 74.5192)
  • SCADA Expert ClearSCADA 2013 R1 (build 75.5210)
Descripción: 

Varias vulnerabilidades han sido descubiertas en una investigación independiente que afecta a la familia de productos StruxureWare SCADA Expert ClearSCADA de Schneider Electric.

Solución: 

Schneider Electric está elaborando el parche de software que corrige los fallos

En espera de la actualización, se recomienda aplicar las contramedidas siguientes:

Utilizar un certificado emitido por una autoridad de certificación reconocida o bien generar un certificado autofirmado utilizando algoritmo SHA.

Para mitigar la vulnerabilidad de acceso a la base de datos con usuario invitado, Scheider Electric recomienda revisar la configuración de la base de datos y restringir los permisos según el perfil del usuario.

En el caso de la vulnerabilidad de XSS, se recomienda desactivar la opción “Allow database shutdown via WebX” a través de la utilidad de configuración del Servidor ClearSCADA.

Para ampliar detalles sobre las mitigaciones puede consultarse el siguiente enlace:
https://ics-cert.us-cert.gov/advisories/ICSA-14-259-01

07/10/2014: ACTUALIZACIÓN: Schneider ha publicado actualizaciones de software para resolver las vulnerabilidades y que pueden descargarse del centro de soporte:

SCADA Expert ClearSCADA Support
Detalle: 

Las vulnerabilidades descubiertas son las siguientes:

Acceso no autenticado. La cuenta de invitado (guest) disponible por defecto para acceder al sistema con motivos de demostración, dispone de permisos de lectura que permiten obtener información sensible de la base de datos.

Algoritmo de cifrado débil. El certificado autofirmado del producto emplea el algoritmo de firma MD5, el cual es obsoleto y vulnerable.

Cross Site Scripting. Un atacante puede sacar provecho de esta vulnerabilidad cuando un usuario administrador local se encuentra autenticado en el sistema a través interfaz WebX y forzar el apagado del sistema.