[Actualización 09/06/2021] Vulnerabilidad en InTouch de AVEVA
InTouch, versión 2020 R2 y anteriores.
Los investigadores, Ilya Karpov, Evgeniy Druzhininand y Konstantin Kondratev de Rostelecom-Solar, en colaboración con ICS-CERT y FSTEC, han reportado a AVEVA, una vulnerabilidad de severidad media que podría permitir a un atacante remoto exponer credenciales en texto claro.
Actualizar a una de las siguientes versiones y, a continuación, aplicar el parche de seguridad correspondiente:
- actualizar a InTouch 2020 R2 con parche InTouch 2020 R2 P01;
- actualizar a InTouch 2020 con parche #1216934;
- actualizar a InTouch 2017 U3 SP1 P01 con parche #1216933.
Una vulnerabilidad de almacenamiento de información confidencial sin cifrar podría permitir a un atacante remoto acceder a credenciales de InTouch Runtime (WindowViewer) después de que un usuario, autorizado y con privilegios, crease un volcado de memoria de diagnóstico de proceso y lo guardase en una ubicación no protegida.
[Actualización 09/06/2021] A esta vulnerabilidad de severidad media se le ha asignado el CVE-2021-32942.