Inicio / Content / Boletín de INCIBE-CERT del 10-05-2022

Boletín de INCIBE-CERT del 10-05-2022

Avisos de seguridad de Siemens de mayo de 2022

Fecha de publicación: 
10/05/2022
Importancia: 
5 - Crítica
Recursos afectados: 
  • Simcenter Femap, versiones anteriores a 2022.2;
  • distintas versiones de los modelos SICAM P850 y P855 listados en SSA-165073;
  • SIMATIC NET PC Software:
    • 14: versiones anteriores a 14 SP1;
    • 15: todas las versiones;
    • 16: todas las versiones;
    • 17: versiones anteriores a 17 SP1.
  • SITOP Manager, todas las versiones;
  • TeleControl Server Basic 3, todas las versiones;
  • SIMATIC Process Historian OPC UA Server, versiones anteriores a 2020 SP1;
  • todas las versiones de SIMATIC:
    • WinCC,
    • WinCC Runtime Professional,
    • WinCC Unified Scada Runtime.
  • SIMATIC PCS 7:
    • 9.0 y anteriores, todas las versiones;
    • 9.1, todas las versiones.
  • Versiones anteriores a 1.5.18 de SIMATIC CP:
    • 442-1 RNA (6GK7442-1RX00- 0XE0);
    • 443-1 RNA (6GK7443-1RX00- 0XE0).
  • JT2Go, versiones anteriores a 13.3.0.3;
  • Teamcenter Visualization:
    • 13.3, versiones anteriores a 13.3.0.3;
    • 14.0, versiones anteriores a 14.0.0.1.
  • Desigo:
    • DXR2, versiones anteriores a 01.21.142.5-22;
    • PXC3, versiones anteriores a 01.21.142.4-18;
    • PXC4 y PXC5, versiones anteriores a 02.20.142.10-10884.
  • Familia de productos LOGO! CMR, todas las versiones;
  • Versiones anteriores a 7.1 de RUGGEDCOM RM1224 LTE(4G):
    • EU (6GK6108-4AM00-2BA2);
    • NAM (6GK6108-4AM00-2DA2).
  • Distintos modelos y versiones de SCALANCE y SIMATIC listados en SSA-732250;
  • SIPLUS NET CP 1543-1 (6AG1543-1AX00-2XE0), versiones anteriores a 3.0.22;
  • OpenV2G, versión 0.9.4;
  • Teamcenter:
    • 12.4: versiones anteriores a 12.4.0.13;
    • 13.0: versiones anteriores a 13.0.0.9;
    • 13.1: todas las versiones;
    • 13.2: versiones anteriores a 13.2.0.8;
    • 13.3: versiones anteriores a 13.3.0.3;
    • 14.0: todas las versiones.
Descripción: 

Siemens ha publicado en su comunicado mensual varias actualizaciones de seguridad de diferentes productos.

Solución: 

Las actualizaciones que corrigen las vulnerabilidades indicadas pueden obtenerse desde el panel de descarga de Siemens. Para los productos sin actualizaciones disponibles es recomendable aplicar las medidas de mitigación descritas en la sección de Referencias.

Detalle: 

Siemens, en su comunicado mensual de parches de seguridad, ha emitido un total de 12 nuevos avisos de seguridad.

  • Los dispositivos afectados no validan correctamente los parámetros de ciertas peticiones GET y POST, lo que podría permitir a un atacante no autenticado poner el dispositivo en un estado de denegación de servicio o controlar el contador del programa y, por tanto, ejecutar código arbitrario en el dispositivo. Se ha asignado el identificador CVE-2022-29873 para esta vulnerabilidad crítica.
  • La función JavaScript "addCell" no sanea correctamente la entrada controlable por el usuario antes de incluirla en el cuerpo XML generado del documento de informe XLS, de modo que es posible inyectar contenido arbitrario (por ejemplo, etiquetas XML) en el archivo generado. Un atacante con privilegios restringidos, al envenenar cualquier contenido utilizado para generar informes XLS, podría aprovechar la aplicación para enviar archivos maliciosos contra usuarios con mayores privilegios y obtener la ejecución remota de código (RCE) contra la estación de trabajo del administrador. Se ha asignado el identificador CVE-2022-24039 para esta vulnerabilidad crítica.

Los tipos de nuevas vulnerabilidades, no críticas, publicadas se corresponden con los siguientes:

  • escritura fuera de límites,
  • neutralización inadecuada de los delimitadores de parámetros o argumentos,
  • transmisión de información sensible en texto plano,
  • neutralización inadecuada de entradas durante la generación de páginas web (Cross-Site Scripting),
  • falta de autentificación en función crítica,
  • anulación de la autenticación mediante captura-repetición,
  • autenticación inadecuada,
  • desreferencia del puntero nulo,
  • restricción inadecuada de las operaciones dentro de los límites de un búfer de memoria,
  • inicialización por defecto insegura del recurso,
  • consumo incontrolado de recursos,
  • bucle con condición de salida inalcanzable (bucle infinito),
  • desbordamiento de enteros a desbordamiento de búfer,
  • doble liberación,
  • acceso al puntero no inicializado,
  • uso del hash de la contraseña con un esfuerzo computacional insuficiente,
  • tiempo de expiración de sesión insuficiente,
  • discrepancia observable,
  • restricción inapropiada de intentos de autenticación excesivos,
  • cookie sensible en sesión HTTPS sin atributo 'secure',
  • excepción no detectada,
  • uso de memoria previamente liberada,
  • utilización de un nombre o una referencia incorrecta,
  • copia del búfer sin comprobar el tamaño de la entrada (desbordamiento de búfer clásico),
  • desbordamiento de búfer basado en pila (stack),
  • restricción inadecuada de la referencia de entidad externa XML.

Encuesta valoración

Múltiples vulnerabilidades en productos Schneider Electric

Fecha de publicación: 
10/05/2022
Importancia: 
5 - Crítica
Recursos afectados: 
  • PowerLogic ION Setup, versiones anteriores a 3.2.22096.01;
  • Saitel DP RTU, versiones de firmware desde Baseline_09.00.00 hasta Baseline_11.06.23;
  • versiones 4.5 y anteriores de Wiser Smar:
    • EER21000,
    • EER21001.
Descripción: 

Los investigadores McKade Umbenhower y Tony Nasr han reportado 8 vulnerabilidades: 1 de severidad crítica, 5 altas y 2 medias. La explotación de estas vulnerabilidades podría permitir a un atacante ejecutar código remoto, provocar una condición de denegación de servicio (DoS) o ejecutar código arbitrario.

Solución: 
  • Actualizar PowerLogic ION Setup a la versión 3.2.22096.01.
  • Actualizar Saitel DP RTU a la versión de firmware BaseLine_11.06.24.
  • Wiser Smart EER21000 y EER21001 han alcanzado el final de su vida útil (EOL) y no recibirán más soporte, por lo que se recomienda a los usuarios aplicar las medidas listadas en el apartado Mitigations de SEVD-2022-130-03.
Detalle: 
  • El uso de credenciales en texto claro podría permitir la ejecución de código arbitrario cuando se obtiene el nivel de acceso root. Se ha asignado el identificador CVE-2022-30234 para esta vulnerabilidad crítica.

Para el resto de vulnerabilidades no críticas se han asignado los identificadores CVE-2022-30232, CVE-2022-30233, CVE-2022-30235, CVE-2022-30236, CVE-2022-30237, CVE-2022-30238 y CVE-2022-6996.

Encuesta valoración

Divulgación de información en ISaGRAF de Rockwell Automation

Fecha de publicación: 
10/05/2022
Importancia: 
3 - Media
Recursos afectados: 
  • ISaGRAF
Descripción: 

Kimiya, trabajando junto a Trend Micro Zero’s Day Initiative, ha reportado esta vulnerabilidad que podría permitir a un atacante remoto revelar información sensible en las instalaciones afectadas de Rockwell Automation ISaGRAF.

Solución: 

Dada la naturaleza de las vulnerabilidades, la única estrategia de mitigación consiste en restringir la interacción con la aplicación.

Detalle: 

La restricción inadecuada de las referencias a entidades externas XML (XXE), en el procesamiento de archivos isasln, podría permitir a un atacante revelar información en el contexto del proceso actual, mediante un documento especialmente diseñado con una URI específica a la que el analizador XML accede e incrusta el contenido de nuevo en el documento XML para su posterior procesamiento.

Encuesta valoración