Inicio / Content / Boletín de INCIBE-CERT del 11-01-2019

Boletín de INCIBE-CERT del 11-01-2019

Vulnerabilidad Cross-Site Scripting en Niagara de Tridium

Fecha de publicación: 
11/01/2019
Importancia: 
3 - Media
Recursos afectados: 
  • Niagara Enterprise Security 2.3u1, todas las versiones anteriores a 2.3.118.6
  • Niagara AX 3.8u4, todas las versiones anteriores a 3.8.401.1
  • Niagara 4.4u2, todas las versiones anteriores a 4.4.93.40.2
  • Niagara 4.6, todas las versiones anteriores a 4.6.96.28.4
Descripción: 

Los investigadores Daniel Santos y Elisa Constante, de SecurityMatters, han reportado una vulnerabilidad del tipo Cross-Site Scripting que afecta a los dispositivos Niagara de Tridium. Un atacante autenticado podría inyectar código en páginas web afectando a la confidencialidad.

Solución: 

Tridium ha puesto a disposición de sus usuarios registrados actualizaciones específicas en función de los productos afectados. Pueden descargar las actualizaciones a través de los siguientes enlaces:

Detalle: 
  • Un atacante remoto podría inyectar scripts en la parte de cliente de la página web, pudiendo ser visualizados por otros usuarios. Se ha reservado el identificador CVE-2018-18985 para esta vulnerabilidad.

Encuesta valoración

Confusión de tipos en CX-One de Omron

Fecha de publicación: 
11/01/2019
Importancia: 
3 - Media
Recursos afectados: 
  • CX-One, versiones 4.50 y anteriores que utilizan CX-Protocol con versiones 2.0 y anteriores.
Descripción: 

Esteban Ruiz (mr_me) de Source Incite, trabajando con Zero Day Initiative de Trend Micro, han identificado una vulnerabilidad de confusión de tipo en CX-One de Omron. Un atacante podría ejecutar código con los privilegios de la aplicación.

Solución: 
  • Omron ha publicado la versión 2.01 de CX-Protocol para actualizar CX-One y solucionar esta vulnerabilidad. Esta actualización se encuentra disponible a través del servicio CX-One auto-update.
Detalle: 
  • Existen tres vulnerabilidades de confusión de tipos cuando se procesa el fichero de proyecto, un atacante podría crear un fichero de proyecto especialmente modificado para ejecutar código con los privilegios de la aplicación. Se ha reservado el identificador CVE-2018-19027 para esta vulnerabilidad.

Encuesta valoración

Evasión de autenticación en DeltaV de Emerson

Fecha de publicación: 
11/01/2019
Importancia: 
4 - Alta
Recursos afectados: 
  • DeltaV DCS, versiones 11.3.1, 11.3.2, 12.3.1, 13.3.1, 14.3, R5.1, R6 y anteriores.
  • [Actualización 4/03/2019] Wonderware System Platform 2017 actualización 2 y anteriores.
Descripción: 

El investigador Alexander Nochvay, de Kaspersky Lab, ha identificado una vulnerabilidad de tipo evasión de autenticación que afecta a los DCS DeltaV de Emerson. Un atacante podría cerrar un servicio y conseguir una denegación de servicio.

[Actualización 4/03/2019] El investigador también ha identificado que esta vulnerabilidad afecta a Wonderware System Platform de AVEVA. En este caso el atacate podría acceder a las credenciales de la cuenta de usuario de la red ArchestrA.

Solución: 
  • Emerson aconseja a todos los usuarios afectados aplicar los parches disponibles en el portal de soporte.
  • Wonderware aconseja actualizar a System Platform 2017 actualización 3.
Detalle: 
  • Un atacante podría generar un script especialmente diseñado para evadir la autenticación del puerto de mantenimiento de un servicio pudiendo provocar una condición de denegación de servicio (DoS). Se ha reservado el identificador CVE-2018-19021 para esta vulnerabilidad.

Encuesta valoración

Almacenamiento de información sensible en claro en PNOZmulti Configurator de Pilz GmbH & Co. KG (Pilz)

Fecha de publicación: 
11/01/2019
Importancia: 
2 - Baja
Recursos afectados: 
  • PNOZmulti Configurator, todas las versiones anteriores a la 10.9

La vulnerabilidad del PNOZmulti Configurator afecta directamente al dispositivo PMI m107 diag HMI.

Descripción: 

Gjoko Krstikj de Applied Risk ha identificado una vulnerabilidad de almacenamiento de información sensible en claro en el software PNOZmulti Configurator de Pilz. Un atacante con acceso local podría leer información sensible del sistema.

Solución: 

El dispositivo PMI m107 diag HMI se encuentra obsoleto, la función afectada por la vulnerabilidad fue corregida en la versión 10.9 de PNOZmulti Configurator.

PILZ recomienda realizar las siguientes acciones correctivas:

  • Para usuarios que no utilizan PMI m107 diag:
    • Instalar la versión 10.9 de PNOZmulti Configurator y borrar el contenido del directorio C:\Program-Data\Pilz\PNOZmulti Configurator v<version>\AppData\pmimicroconfig (reemplazar <versión> por la versión utilizada).
  • A los usuarios de PMI m107 diag:
    • Continuar utilizando la versión antigua de PNOZmulti Configurator y proteger el PC frente a accesos no autorizados.
Detalle: 
  • Un atacante no autenticado con acceso local al sistema donde está instalado PNOZmulti Configurator podría ver datos de credenciales en texto en claro. Se ha reservado el identificador CVE-2018-19009 para esta vulnerabilidad.

Encuesta valoración

Etiquetas: