Inicio / Alerta Temprana / Avisos Sci / Vulnerabilidad de inyección de comandos en Festo CECC-X-M1

Vulnerabilidad de inyección de comandos en Festo CECC-X-M1

Fecha de publicación: 
07/07/2022
Identificador: 
INCIBE-2022-0823
Importancia: 
5 - Crítica
Recursos afectados: 
  • Controlador CECC-X-M1 versión 4.0.14, versión 3.8.14 y anteriores,
  • Controlador CECC-X-M1-MV versión 4.0.14, versión 3.8.14 y anteriores,
  • Controlador CECC-X-M1-MV-S1 versión 4.0.14, versión 3.8.14 y anteriores,
  • Controlador CECC-X-M1-YS-L1, Controlador CECC-X-M1-YS-L2, Controller CECC-X-M1-Y-YJKP, Kit de servoprensa YJKP y Kit de servoprensa YJKP- versiones 3.8.14 y anteriores.
Descripción: 

Los investigadores Q. Kaiser y M. Illes, de ONEKEY Research Labs, informaron a Festo de varias vulnerabilidades de inyección de comandos en varias versiones del controlador Festo CECC-X-M1 que podrían permitir ejecutar comandos arbitrarios del sistema del dispositivo con privilegios de root.

Solución: 

Aplicar versiones del firmware 3.8.18, 4.0.18, o superiores.

Detalle: 

Los controladores Festo CECC-X-M1 en varias versiones se ven afectadas por vulnerabilidades de inyección de comandos sin necesidad de autenticación, mediante una petición tipo POST "cecc-x-web-viewer-request-off", lo que permitiría a un atacante obtener acceso al servidor web y ejecutar comandos arbitrarios del sistema. Se han asignado los identificadores CVE-2022-30308, CVE-2022-30309, CVE-2022-30310 y CVE-2022-30311 para estas vulnerabilidades.

Encuesta valoración