Inicio / Content / Boletín de INCIBE-CERT del 11-06-2021

Boletín de INCIBE-CERT del 11-06-2021

Múltiples vulnerabilidades en Defibrillator Dashboard de ZOLL

Fecha de publicación: 
11/06/2021
Importancia: 
5 - Crítica
Recursos afectados: 

Defibrillator Dashboard, todas las versiones anteriores a la 2.2.

Descripción: 

Se han reportado, de forma anónima al CISA, 1 vulnerabilidad de severidad crítica, 3 altas y 2 medias, que podrían permitir a un atacante remoto ejecutar código arbitrario, realizar una escalada de privilegios o tener acceso a credenciales e información confidencial.

Solución: 

Actualizar a la versión 2.2 u otra posterior.

Detalle: 
  • Una vulnerabilidad de carga de archivos potencialmente peligrosos sin restricciones en la aplicación web podría permitir a un usuario sin privilegios administrativos cargar un archivo malicioso, lo que podría permitir a un atacante ejecutar código de forma remota. Se ha asignado el identificador CVE-2021-27489 para esta vulnerabilidad de severidad crítica.

Para las vulnerabilidades de severidad alta se han asignado los identificadores: CVE-2021-27481, CVE-2021-27487 y CVE-2021-27485.

Para las vulnerabilidades de severidad media se han asignado los identificadores: CVE-2021-27479 y CVE-2021-27483.

Encuesta valoración

Omisión de políticas de seguridad en FactoryTalk Services Platform de Rockwell Automation

Fecha de publicación: 
11/06/2021
Importancia: 
4 - Alta
Recursos afectados: 

FactoryTalk Services Platform, versión 6.11 y anteriores, si FactoryTalk Security está habilitado y desplegado.

Descripción: 

Rockwell Automation ha notificado una vulnerabilidad, de severidad alta, que podría permitir a usuarios remotos y autenticados eludir las políticas de FactoryTalk Security que se basan en un nombre de equipo.

Solución: 

Actualizar FactoryTalk Services Platform a la versión 6.20 o posteriores.

Detalle: 

La vulnerabilidad identificada podría permitir a un atacante, remoto y autenticado, eludir las políticas de seguridad basadas en el nombre del equipo, lo que le daría acceso al mismo nivel de privilegios que si estuviera conectado a la máquina cliente. Se ha asignado el identificador CVE-2021-32960 para esta vulnerabilidad.

Encuesta valoración

Múltiples vulnerabilidades en Web Server Plugin de AGG Software

Fecha de publicación: 
11/06/2021
Importancia: 
4 - Alta
Recursos afectados: 

 Web Server Plugin v4.0.40.1014 y anteriores (webserver.dll).

Descripción: 

Michael Heinzl ha reportado estas vulnerabilidades al CISA que podrían permitir la lectura de archivos arbitrarios del sistema o la ejecución remota de código.

Solución: 

Actualizar Web Server plugin a la versión  4.0.42 Build 512 o posterior.

Detalle: 
  • Una neutralización incorrecta de la entrada, durante la generación de la página web, (cross-site scripting), podría permitir a un atacante la ejecución remota de código arbitrario. Se ha asignado el identificador CVE-2021-32962 para esta vulnerabilidad.
  • Una limitación incorrecta de nombre de ruta relativa a un directorio restringido (relative path traversal), podría permitir a un atacante leer archivos arbitrarios del sistema de ficheros. Se ha asignado el identificador CVE-2021-32964 para esta vulnerabilidad.

Encuesta valoración