Vulnerabilidades en controladores Honeywell FALCON XLWeb
Fecha de publicación:
23/07/2014
Importancia:
4 -
Alta
Recursos afectados:
- FALCON Linux 2.04.01 y anteriores.
- FALCON XLWebExe 2.02.11 y anteriores.
Descripción:
Se han descubierto dos vulnerabilidades en controladores HoneyWell FALCON, que podrían permitir sortear la autenticación del sistema y ejecutar código de forma remota.
Solución:
Honeywell ha publicado una actualización que resuelve las vulnerabilidades mencionadas. Se puede consultar cómo aplicar la actualización desde Centraline Parnerweb.
Detalle:
La página web de cambio de contraseña es accesible sin autenticación. A través de ella, un atacante podría obtener el hash de contraseñas específicas y nombres de usuarios del sistema. De esta forma, podría acceder al sistema incluso como usuario administrador. Se ha asignado el identificador CVE-2014-2717 a esta vulnerabilidad.
El servidor web es vulnerable a varios ataques de tipo cross-site scripting. Mediante el envío de entradas inválidas a los controladores XL Web, un atacante podría conseguir ejecutar código HTML y scripts arbitrarios en sesiones de los navegadores de otros usuarios. Se ha asignado el identificador CVE-2014-3110 a esta vulnerabilidad.
Etiquetas: