Inicio / Content / Boletín de INCIBE-CERT del 01-09-2021

Boletín de INCIBE-CERT del 01-09-2021

Múltiples vulnerabilidades en productos de WAGO

Fecha de publicación: 
01/09/2021
Importancia: 
5 - Crítica
Recursos afectados: 
  • Software de instalación WAGO e!COCKPIT, todas las versiones anteriores a la 1.10;
  • software de instalación WAGO-I/O-Pro (CODESYS 2.3), versión 2.3.9.46, 2.3.9.47, 2.3.9.49, 2.3.9.53, 2.3.9.55, 2.3.9.61 y 2.3.9.66;
  • versión FW07 y anteriores de los controladores:
    • 750-362,
    • 750-363,
    • 750-823,
    • 750-832/xxx-xxx,
    • 750-862,
    • 750-891;
    • 750-890/xxx-xxx,
    • 750-893;
  • versiones de la FW4 a la FW15 de los controladores:
    • 750-831/xxx-xxx,
    • 750-880/xxx-xxx,
    • 750-881,
    • 750-889.
Descripción: 

Se han reportado, en coordinación con el CERT@VDE, dos vulnerabilidades de severidad crítica y otras dos de severidad alta que podrían permitir a un atacante establecer una condición de denegación de servicio.

Solución: 
  • Para los usuarios de WAGO e!COCKPIT y WAGO-I/O-Pro (CODESYS 2.3), se recomienda que actualicen WIBU-SYSTEMS Codemeter a su última versión, de forma independiente.
  • Para los usuarios del resto de productos afectados, se recomienda actualizar a la última versión de firmware disponible.  

 

Detalle: 
  • El paquete software de instalación de WAGO e!COCKPIT y WAGO-I/O-Pro (CODESYS 2.3) incluye la instalación de una versión de WIBU-SYSTEMS Codemeter vulnerable a una lectura fuera de límites, que podría permitir a un atacante establecer una condición de denegación de servicio o revelar el contenido de la memoria dinámica (heap). Se ha asignado el identificador CVE-2021-20093 para esta vulnerabilidad.
  • Una vulnerabilidad de autenticación incorrecta en WBM (Web-Based Management) de los controladores afectados podría permitir a un atacante, no autenticado y con acceso a WBM, leer o escribir parámetros de los equipos mediante el envío de solicitudes especialmente diseñadas y así, causar una condición de denegación de servicio. Se ha asignado el identificador CVE-2021-34578 para esta vulnerabilidad.

Para las vulnerabilidades de severidad alta se han asignado los identificadores CVE-2021-20094 y CVE-2021-34581.

Encuesta valoración

Vulnerabilidad en KT-1 de Sensormatic Electronics, LLC.

Fecha de publicación: 
01/09/2021
Importancia: 
4 - Alta
Recursos afectados: 

KT-1, versión 2.09.02 y anteriores.

Descripción: 

Johnson Controls ha reportado al CISA que el producto afectado utiliza una versión sin soporte de Microsoft Windows CE, lo que podría suponer un riesgo.

Solución: 

Actualizar a la versión 3.02.01.

Detalle: 

El producto afectado se basa en Microsoft Windows CE 6.0 que carece de soporte. Esto puede dificultar la mitigación de posibles vulnerabilidades.

Encuesta valoración

[Actualización 01/09/2021] Múltiples vulnerabilidades en dispositivos de monitorización de pacientes de Philips

Fecha de publicación: 
11/09/2020
Importancia: 
4 - Alta
Recursos afectados: 
  • Patient Information Center iX (PICiX), versiones B.02, C.02, C.03;
  • PerformanceBridge Focal Point, versión A.01;
  • IntelliVue patient monitors MX100, MX400-MX850 y MP2-MP90, versiones N y anteriores;
  • IntelliVue X3 y X2, versiones N y anteriores.
Descripción: 

Se han publicado múltiples vulnerabilidades en dispositivos de monitorización de pacientes de Philips que podrían permitir a un atacante el acceso no autorizado a los datos del paciente, reiniciar la aplicación, cerrar el servicio de certificados de forma inesperada, reiniciar el sistema o salir del entorno restringido con privilegios limitados.

Solución: 

[Actualización 01/09/2021]:

Están previstas las siguientes actualizaciones:

  • Patient Information Center iX (PICiX) Version C.03, para finales de 2020;
  • PerformanceBridge Focal Point para el tercer trimestre de 2021;
  • IntelliVue Patient Monitors Versions N.00 and N.01 para el primer trimestre de 2021;
  • IntelliVue Patient Monitors Version M.04, contactar con el equipo de asistencia técnica de Philips para obtener la actualización.
  • El sistema de revocación de certificados será implementado en 2023.
Detalle: 

Los tipos de nuevas vulnerabilidades publicadas se corresponden con los siguientes:

  • Neutralización incorrecta de elementos de fórmula en archivos CSV. Se ha asignado el identificador CVE-2020-16214 para esta vulnerabilidad.
  • Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting). Se ha asignado el identificador CVE-2020-16218 para esta vulnerabilidad.
  • Autenticación incorrecta. Se ha asignado el identificador CVE-2020-16222 para esta vulnerabilidad.
  • Comprobación inadecuada de la revocación de certificados. Se ha asignado el identificador CVE-2020-16228 para esta vulnerabilidad.
  • Manejo inadecuado de la inconsistencia en la longitud de los parámetros. Se ha asignado el identificador CVE-2020-16224 para esta vulnerabilidad.
  • Validación inadecuada del corrector sintáctico de los datos de entrada. Se ha asignado el identificador CVE-2020-16220 para esta vulnerabilidad.
  • Validación incorrecta de entrada. Se ha asignado el identificador CVE-2020-16216 para esta vulnerabilidad.
  • Exposición del recurso a una esfera de control incorrecta. Se ha asignado el identificador CVE-2020-16212 para esta vulnerabilidad.

Encuesta valoración