Inicio / Content / Boletín de INCIBE-CERT del 05-06-2019

Boletín de INCIBE-CERT del 05-06-2019

Múltiples vulnerabilidades en dispositivos de ABB

Fecha de publicación: 
05/06/2019
Importancia: 
4 - Alta
Recursos afectados: 
  • Índice de revisión G1 con BSP UN31, versión 1.76 y anteriores, de los siguientes productos:
    • CP620 y CP620-WEB
    • CP630 y CP630-WEB
    • CP635, CP635-B y CP635-WEB
  • Versiones desde 1.91 hasta 2.8.0.367 de:
    • PB610 Panel Builder 600
  • Índice de revisión B1 con BSP UN30, versión 1.76 y anteriores, de los siguientes productos:
    • CP651
    • CP661
    • CP665
    • CP676
  • Índice de revisión A0 con BSP UN30, versión 1.76 y anteriores, de los siguientes productos:
    • CP651-WEB
    • CP661-WEB
    • CP665-WEB
    • CP676-WEB
Descripción: 

ABB agradece a Xen1thLabs, a Darkmatter Company, a United Arab Emirates y a Abu Dhabi el reporte de la información y pruebas de concepto sobre las vulnerabilidades de tipo componentes de software desactualizado, credenciales embebidas, ausencia de comprobación de firma, cuentas administrativas ocultas, salto de directorio en servidor FTP, ausencia de control en el formato de cadenas enviado a los servidores FTP y HTTP, desbordamiento de búfer basado en pila y evasión de autenticación en el servidor web. Un atacante remoto podría llegar a ejecutar código arbitrario y generar un funcionamiento erróneo en los dispositivos afectados por las vulnerabilidades, si logra la explotación de las mismas.

Solución: 

El fabricante ha puesto a disposición de los usuarios las siguientes actualizaciones:

Detalle: 
  • Dispositivos ABB CP635 HMI y CP651 HMI:
    • Disponen de una cuenta de administración embebida en el código, la cual es utilizada en la fase de implantación del HMI. Estas credenciales permitirían a un posible atacante, con acceso a la herramienta de configuración “Panel Builder 600”, utilizarlas para crear nuevas interfaces en el HMI o que modifique las etiquetas de los valores (MODBUS coils) que se mapean en el HMI. Se han asignado los identificadores CVE-2019-7225 y CVE-2019-10995 para esta vulnerabilidad.
    • Debido a una falta de cifrado en la transmisión de los archivos durante la actualización de los dispositivos, la verificación de las actualizaciones se realiza a través de comparación de hashes de los archivos binarios entre el paquete de actualización y la transmisión final. Un atacante con accesos a la red o al paquete de actualización puede manipular estos ficheros binarios, comprometiendo el dispositivo totalmente. Se ha asignado el identificador CVE-2019-7229 para esta vulnerabilidad.
    • Los dispositivos disponen de componentes de software desactualizados y vulnerables que se encuentran enlazados estáticamente en los archivos de firmware y servicios binarios.
  • ABB PB610:
    • Dispone de una cuenta de administración embebida en el código, la cual es utilizada en la fase de implantación del HMI. Estas credenciales permitirían a un posible atacante, con acceso a la herramienta de configuración “Panel Builder 600”, utilizarlas para crear nuevas interfaces en el HMI o que modifique las etiquetas de los valores (MODBUS coils) que se mapean en el HMI. Se ha asignado el identificador CVE-2019-7225 para esta vulnerabilidad.
    • El servidor IDAL HTTP CGI tiene accesible una URL que permite a un atacante saltarse la autenticación y acceder a funciones con privilegios elevados. Se ha asignado el identificador CVE-2019-7226 para esta vulnerabilidad.
    • El servidor IDAL FTP no gestiona de manera correcta las solicitudes de cambio de directorio y un atacante podría acceder a cualquier ruta de ficheros, fuera del ámbito del servidor FTP. Se ha asignado el identificador CVE-2019-7227 para esta vulnerabilidad.
    • El servidor IDAL HTTP y el servidor IDAL FTP no validan de forma correcta las entradas de los usuarios, permitiendo a un atacante corromper la memoria con entradas malformadas, para saltarse la autenticación o para ejecutar código remoto. Se han asignado los identificadores CVE-2019-7228 y CVE-2019-7230 para esta vulnerabilidad.
    • El servidor HTTP es vulnerable a un desbordamiento de búfer. Un atacante remoto puede modificar el campo host en la cabecera de la petición HTTP para provocar un desbordamiento de búfer y sobrescribir la dirección del Structure Exception Handler (SEH) con un búfer mayor. Se han asignado los identificadores CVE-2019-7231 y CVE-2019-7232 para esta vulnerabilidad.

Encuesta valoración

Múltiples vulnerabilidades en productos de Geutebrück

Fecha de publicación: 
05/06/2019
Importancia: 
4 - Alta
Recursos afectados: 

Las vulnerabilidades afectan a las siguientes versiones y modelos de Encoder y E2 Series Camera:

  • G-Code: Todas las versiones 1.12.0.25 y anteriores.
    • EEC-2XXX
  • G-Cam: Todas las versiones 1.12.0.25 y anteriores.
    • EBC-21XX
    • EFD-22XX
    • ETHC-22XX
    • EWPC-22XX
Descripción: 

Los investigadores Romain Luyer, Guillaume Gronnier de CEIS, junto con Davy Douhine de RandoriSec, han reportado múltiples vulnerabilidades de tipo Cross-site Scripting (XSS) e inyección de comandos de sistema operativo. La explotación exitosa de estas vulnerabilidades podría permitir a un atacante remoto ejecutar código remoto como root y ejecutar código en el navegador del operador de la cámara IP.

Solución: 
  • El fabricante ha publicado una actualización de firmware para los usuarios registrados que mitiga las vulnerabilidades:
Detalle: 
  • Un atacante remoto autenticado con acceso a la configuración de eventos podría almacenar código malicioso en el servidor que posteriormente podría ser ejecutado por un usuario legítimo, resultando en una ejecución de código dentro del navegador del usuario. Se ha reservado el identificador CVE-2019-10957 para esta vulnerabilidad.
  • Un atacante remoto autenticado podría ejecutar comandos como root mediante un comando URL específicamente diseñado. Se ha reservado el identificador CVE-2019-10956 para esta vulnerabilidad.
  • Una incorrecta validación en los parámetros de entrada de usuario podría permitir a un atacante remoto autenticado con acceso a la configuración de red introducir comandos del sistema al servidor, logrando ejecutar código remoto como root. Se ha reservado el identificador CVE-2019-10958 para esta vulnerabilidad.

Encuesta valoración

Gestión incorrecta de autenticación y control de accesos en productos Tecson/GOK

Fecha de publicación: 
05/06/2019
Importancia: 
5 - Crítica
Recursos afectados: 
  • LX-Net
  • LX-Q-Net
  • e-litro net
  • SmartBox4 LAN
  • SmartBox4 pro LAN
Descripción: 

El investigador Maxim Rupp (rupp.it) ha reportado una vulnerabilidad en los productos de Tecson/GOK que afecta a la forma de gestionar el control de accesos y la autenticación.

Solución: 
  • Actualizar el firmware de los dispositivos a una versión posterior a la 6.3.x
Detalle: 
  • La aplicación no gestiona de forma adecuada los accesos a los recursos web, permitiendo el acceso a ciertos recursos sin necesidad de una autenticación. Esta vulnerabilidad permitiría a un atacante remoto acceder a recursos localizados en rutas específicas (URL) del servidor web, sin necesidad de estar autenticado. El acceso directo a estos recursos permite el control total del servidor web, pudiendo realizar cambios en la configuración y los ajustes de los dispositivos, como contraseñas, parámetros o alertas. Se ha reservado el identificador CVE-2019-12254 para esta vulnerabilidad.

Encuesta valoración