Inicio / Content / Boletín de INCIBE-CERT del 10-11-2021

Boletín de INCIBE-CERT del 10-11-2021

Múltiples vulnerabilidades en productos Schneider Electric

Fecha de publicación: 
10/11/2021
Importancia: 
5 - Crítica
Recursos afectados: 
  • Sistemas KNX home y building automation que utilicen una pasarela o router KNXnet/IP conectados directamente a Internet;
  • SCADAPack (312E, 313E, 314E, 330E, 333E, 334E, 337E, 350E y 357E RTUs), versión de firmware18.1 y anteriores;
  • Schneider Electric Software Update, versiones de la 2.3.0 a la 2.5.1;
  • Network Management Card 2 (NMC2), versión 6.9.6 y anteriores;
  • Network Management Card 3 (NMC3), versión 1.4.0 y anteriores;
  • EcoStruxure Process Expert, todas las versiones anteriores a la 2021;
  • Easergy C5x (C52/C53), versiones anteriores a la 1.0.5;
  • E+PLC100, todas las versiones;
  • JACE-8000, todas las versiones anteriores a Niagara 4.8;
  • MiCOM C264, todas las versiones hasta la B5.118, D1.92, D4.38, D5.25I y D6.18;
  • Controladores lógicos ModiconM258/LMC058, versiones de firmware anteriores a la 5.0.4.18;
  • Modicon Quantum CPU y sus módulos de comunicaciones, todas las versiones;
  • Modicon Premium CPU y sus módulos de comunicaciones, todas las versiones;
  • Controladores lógicos PacDrive Eco/Pro/Pro2, versiones de firmware anteriores a la 5.1.9.21;
  • PacDrive M, todas las versiones;
  • SAGE RTU CPU C3414, todas las versiones anteriores a la C3414-500-S02K5_P5;
  • TelevisAir V3.0 Dongle BTLE, versión ADBT42 y anteriores;
  • Eurotherm by Schneider Electric GUIcon, versión 2.0 (Build 683.003) y anteriores.
Descripción: 

Schneider Electric ha publicado dos vulnerabilidades de severidad crítica, seis de severidad alta, siete de severidad media y una de severidad baja, que podrían permitir una denegación de servicio, descifrar credenciales, revelar información sensible, ejecutar código de forma remota y comprometer la integridad de determinada información transmitida.

Asimismo, ha confirmado una campaña de ciberataques contra sus sistemas KNX home y building automation que utilizan una pasarela o router  KNXnet/IP.

Solución: 

Actualizar a las versiones descritas en la sección Remediation de cada aviso. En caso de no estar la actualización disponible o haber llegado al fin de la vida útil, el fabricante recomienda seguir las medidas descritas en el apartado Mitigations.

En el caso de los dispositivos KNXnet/IP, se recomienda desconectarlo de la red si solo da soporte a la programación remota. En caso contrario, se recomienda deshabilitar todo el reenvío de puertos desde el firewall o router al dispositivo KNXnet/IP. Si es necesario tener conectado el sistema KNX a la red Ethernet, se recomienda implementar una capa de seguridad adicional mediante una pasarela o router que implemente KNXnet/IP Secure, como el Schneider Electric SpaceLogic KNX Secure IP Router (MTN6500-0103) o SpaceLogic KNX Secure IP Interface (MTN6502-0105).

Detalle: 

Algunos productos de Schneider Electric presentan vulnerabilidades de asignación de memoria, conocidas como “BadAlloc”, que podrían permitir a un atacante causar una condición de denegación de servicio o la ejecución remota de código. Se han asignado los identificadores CVE-2020-35198 y CVE-2021-22156 para estas vulnerabilidades críticas.

Para las vulnerabilidades de severidad alta se han asignado los identificadores CVE-2021-22816, CVE-2021-34527, CVE-2021-1675, CVE-2021-22807, CVE-2021-22808 y CVE-2020- 28895.

Para las vulnerabilidades de severidad media se han asignado los identificadores CVE-2021-22810, CVE-2021-22811, CVE-2021-22812, CVE-2021-22813, CVE-2021-22814, CVE-2021-22815 y CVE-2021-22809.

Para la vulnerabilidad de severidad baja se ha asignado el identificador CVE-2021-22799.

Por otra parte, Schneider Electric ha informado de ciberataques contra sus sistemas KNX home y building automation, que utilizan una pasarela o router  KNXnet/IP y que están expuestos a Internet de forma inadecuada, al habilitar el reenvío de puertos en el firewall/router del sistema hacia el puerto 3671 de una pasarela o router KNXnet/IP. Los atacantes podrían aprovechar esta vulnerabilidad para cambiar ajustes de control y modificar contraseñas, degradando el funcionamiento de los equipos o provocando una denegación de servicio de los mismos.

Algunos productos de Schneider Electric presentan vulnerabilidades de asignación de memoria, conocidas como “BadAlloc”, que podrían permitir a un atacante causar una condición de denegación de servicio o la ejecución remota de código. Se han asignado los identificadores CVE-2020-35198 y CVE-2021-22156 para estas vulnerabilidades críticas. Para las vulnerabilidades de severidad alta se han asignado los identificadores CVE-2021-22816, CVE-2021-34527, CVE-2021-1675, CVE-2021-22807, CVE-2021-22808 y CVE-2020- 28895. Para las vulnerabilidades de severidad media se han asignado los identificadores CVE-2021-22810, CVE-2021-22811, CVE-2021-22812, CVE-2021-22813, CVE-2021-22814, CVE-2021-22815 y CVE-2021-22809. Para la vulnerabilidad de severidad baja se ha asignado el identificador CVE-2021-22799. Por otra parte, Schneider Electric ha informado de ciberataques contra sus sistemas KNX home y building automation, que utilizan una pasarela o router KNXnet/IP y que están expuestos a Internet de forma inadecuada, al habilitar el reenvío de puertos en el firewall/router del sistema hacia el puerto 3671 de una pasarela o router KNXnet/IP. Los atacantes podrían aprovechar esta vulnerabilidad para cambiar ajustes de control y modificar contraseñas, degradando el funcionamiento de los equipos o provocando una denegación de servicio de los mismos.

Múltiples vulnerabilidades en FL MGUARD de PHOENIX CONTACT

Fecha de publicación: 
10/11/2021
Importancia: 
4 - Alta
Recursos afectados: 
  • FL MGUARD 1102, versiones 1.4.0, 1.4.1 y 1.5.0;
  • FL MGUARD 1105, versiones 1.4.0, 1.4.1 y 1.5.0.
Descripción: 

PHOENIX CONTACT, con la coordinación y el soporte del CERT@VDE, junto con un cliente, han descubierto dos vulnerabilidades altas por las que un atacante podría ejecutar un Cross-site scripting en el gestor web o una fuga de memoria en la función de registro remoto.

Solución: 

PHOENIX CONTACT recomienda actualizar el firmware a la versión 1.5.1 (o cualquier versión posterior) que corrige ambas vulnerabilidades.

Detalle: 
  • La funcionalidad de carga de archivos en la gestión web está afectada por una vulnerabilidad de Cross-site scripting (XSS). Se ha asignado el identificador CVE-2021-34582 para esta vulnerabilidad.
  • La funcionalidad de registro remoto se ve afectada por la falta de liberación de memoria para las estructuras de datos de syslog-ng cuando el registro remoto está activo. Se ha asignado el identificador CVE-2021-34598 para esta vulnerabilidad.

Encuesta valoración

Ejecución remota de código en mySCADA myDESIGNER

Fecha de publicación: 
10/11/2021
Importancia: 
4 - Alta
Recursos afectados: 

myDESIGNER, versión 8.20.0 y anteriores.

Descripción: 

El investigador, Michael Heinzl, ha reportado al CISA esta vulnerabilidad por la que se podría realizar la ejecución remota de código.

Solución: 

Actualizar a la versión v8.22.0 o superior.

Detalle: 

El producto afectado no valida correctamente el contenido de archivo de proyecto importado, lo que podría hacerle vulnerable a una carga de archivos en ubicaciones arbitrarias o sobrescribir archivos existentes, lo que resultaría en la ejecución remota de código. Se ha asignado el identificador CVE-2021-3091 para esta vulnerabilidad alta.

Encuesta valoración

Múltiples vulnerabilidades en Philips MRI

Fecha de publicación: 
10/11/2021
Importancia: 
3 - Media
Recursos afectados: 
  • MRI 1.5T: versión 5.x.x;
  • MRI 3T: versión 5.x.x.
Descripción: 

Michael Aguilar, consultor de Secureworks Adversary Group, ha reportado 3 vulnerabilidades medias a Philips que podrían permitir a un atacante obtener acceso para ejecutar software, modificar la configuración del sistema, ver/actualizar archivos o exportar datos (incluidos los datos de los pacientes) a un entorno no confiable.

Solución: 

Philips trabajará en una nueva versión que estará disponible en octubre de 2022.

Hasta que esté disponible esta nueva versión, el fabricante recomienda a los usuarios, operar todos los productos desplegados y soportados por Philips dentro de las especificaciones autorizadas por Philips, incluyendo los controles físicos y lógicos, permitiendo sólo la presencia de personal autorizado en las proximidades del producto. También puede consultar las instrucciones de uso (IFU) de Philips, disponibles en InCenter.

Detalle: 
  • El software no restringe o restringe inadecuadamente el acceso a un recurso de un actor no autorizado. Se ha asignado el identificador CVE-2021-3083 para esta vulnerabilidad.
  • El software asigna inadecuadamente al propietario de un recurso. Se ha asignado el identificador CVE-2021-3085 para esta vulnerabilidad.
  • El producto expone información sensible a atacantes con acceso no autorizado. Se ha asignado el identificador CVE-2021-3084 para esta vulnerabilidad.

Encuesta valoración

[Actualización 10/11/2021] Múltiples vulnerabilidades en WebAccess HMI Designeren de Advantech

Fecha de publicación: 
23/06/2021
Importancia: 
4 - Alta
Recursos afectados: 

[Actualización 10/11/2021] WebAccess HMI Designer, versiones anteriores a 2.1.11.0.

Descripción: 

Kimiya, en colaboración con ZDI, y Michael Heinzl han reportado estas vulnerabilidades a CISA que podrían permitir a un atacante la corrupción de la memoria, la ejecución de código, [Actualización 10/11/2021] el secuestro de los tokens de cookies/sesión del usuario y acción involuntaria del navegador.

Solución: 

Los usuarios deben ponerse en contacto con el servicio de atención al cliente de Advantech para obtener más información.

[Actualización 10/11/2021] Actualizar WebAccess HMI Designer a la versión 2.1.11.0.

Detalle: 
  • El análisis de un archivo de proyecto malicioso puede causar un desbordamiento de búfer basado en memoria dinámica (heap), lo que podría permitir a un atacante la ejecución de código arbitrario. Se requiere la interacción del usuario. Se ha asignado el identificador CVE-2021-33000 para esta vulnerabilidad de severidad alta.
  • La apertura de un archivo de proyecto malicioso puede causar una escritura fuera de límites, lo que podría permitir a un atacante ejecutar código arbitrario. Se requiere la interacción del usuario. Se ha asignado el identificador CVE-2021-33002 para esta vulnerabilidad de severidad alta.
  • La corrupción de memoria debida a la validación inadecuada de los archivos suministrados por el usuario, podría permitir a un atacante ejecutar código arbitrario. Se requiere la interacción del usuario. Se ha asignado el identificador CVE-2021-33004 para esta vulnerabilidad de severidad alta.

[Actualización 10/11/2021]

  • Esta vulnerabilidad podría permitir a un atacante enviar código Javascript malicioso que resultara en el secuestro de los tokens de cookies/sesión del usuario, redirigiendo al usuario a una página web maliciosa y realizando una acción no deseada en el navegador. Se ha asignado el identificador CVE-2021-42706 para esta vulnerabilidad alta.

Para la vulnerabilidad baja se ha asignado el identificador CVE-2021-42703.

Encuesta valoración

Múltiples vulnerabilidades en productos OSIsoft

Fecha de publicación: 
10/11/2021
Importancia: 
3 - Media
Recursos afectados: 
  • PI Vision, versiones anteriores a 2021;
  • PI Web API 2019 SPI y versiones anteriores.
Descripción: 

El fabricante ha reportado 3 vulnerabilidades, 2 con severidad media y 1 baja, que podrían permitir a un atacante autenticado la divulgación, modificación o eliminación de información sensible o la entrega de información falsa.

Solución: 
Detalle: 
  • Un atacante remoto y autenticado, con acceso de escritura a un servidor PI, podría engañar a un usuario para que interactuara con un endpoint de la API web de PI y redirigirlo a un sitio web malicioso. Se ha asignado el identificador CVE-2021-3093 para esta vulnerabilidad media.
  • Un atacante remoto con acceso de escritura a PI Vision podría inyectar código en una pantalla si la víctima usa Microsoft Internet Explorer. El impacto afecta a los datos del Sistema PI y a otros datos accesibles con los permisos de usuario de la víctima. Se ha asignado el identificador CVE-2021-3090 para esta vulnerabilidad media.

Para la vulnerabilidad baja se ha asignado el identificador CVE-2021-3095.

Encuesta valoración