Vulnerabilidades en controladores Honeywell FALCON XLWeb
- FALCON Linux 2.04.01 y anteriores.
- FALCON XLWebExe 2.02.11 y anteriores.
Se han descubierto dos vulnerabilidades en controladores HoneyWell FALCON, que podrían permitir sortear la autenticación del sistema y ejecutar código de forma remota.
Honeywell ha publicado una actualización que resuelve las vulnerabilidades mencionadas. Se puede consultar cómo aplicar la actualización desde Centraline Parnerweb.
La página web de cambio de contraseña es accesible sin autenticación. A través de ella, un atacante podría obtener el hash de contraseñas específicas y nombres de usuarios del sistema. De esta forma, podría acceder al sistema incluso como usuario administrador. Se ha asignado el identificador CVE-2014-2717 a esta vulnerabilidad.
El servidor web es vulnerable a varios ataques de tipo cross-site scripting. Mediante el envío de entradas inválidas a los controladores XL Web, un atacante podría conseguir ejecutar código HTML y scripts arbitrarios en sesiones de los navegadores de otros usuarios. Se ha asignado el identificador CVE-2014-3110 a esta vulnerabilidad.