Inicio / Content / Boletín de INCIBE-CERT del 13-02-2020

Boletín de INCIBE-CERT del 13-02-2020

Múltiples vulnerabilidades en productos de ABB

Fecha de publicación: 
13/02/2020
Importancia: 
4 - Alta
Recursos afectados: 
  • Asset Suite, versiones 9.6 y anteriores.
  • eSOMS, versiones 6.02 y anteriores.
Descripción: 

ABB ha reportado varias vulnerabilidades del tipo: referencia directa a objeto, cabeceras HTTP no activadas correctamente, flags seguros no activados, filtración de información, falta de control de la complejidad de la contraseña, uso de software vulnerable, inyección SQL, falta de validación de entradas y salidas, almacenamiento de contraseñas en claro y uso de algoritmos de encriptación débiles. Estas vulnerabilidades podrían permitir a un atacante acceder a información sensible.

Solución: 

Actualizar a las siguientes versiones:

  • eSOMS: 6.0.3 y 6.1,
  • Asset Suite: 9.4.2.6, 9.5.3.2 y 9.6.1.
Detalle: 

Las vulnerabilidades de severidad alta son:

  • Un fallo en los controles utilizados para limitar el acceso a los recursos podría permitir a un atacante, que conozca o descubra la URL de un recurso al que no tiene permiso, acceder a dicho recurso buscándolo directamente mediante la URL. Se ha asignado el identificador CVE-2019-18998 para esta vulnerabilidad.
  • En eSOMS está instalada una versión de Redis vulnerable.
  • La falta de validación de la entrada para los queries SQL, en el eSOMS, podría permitir a un atacante realizar ataques de inyección SQL contra la base de datos interna. Se ha asignado el identificador CVE-2019-19094 para esta vulnerabilidad.

Para el resto de las vulnerabilidades se han asignado los identificadores CVE-2019-19000, CVE-2019-19001, CVE-2019-19002, CVE-2019-19003, CVE-2019-19089, CVE-2019-19090, CVE-2019-19091, CVE-2019-19092, CVE-2019-19093, CVE-2019-19095, CVE-2019-19096 y CVE-2019-19097.

Encuesta valoración

Múltiples vulnerabilidades en equipos OnCell de Moxa

Fecha de publicación: 
13/02/2020
Importancia: 
5 - Crítica
Recursos afectados: 
  • Moxa OnCell G3470A-LTE Series, versiones de firmware 1.6 o anteriores.
  • Moxa OnCell G3100-HSPA Series, versiones de firmware:
    • 1.4 o anteriores para las vulnerabilidades con identificadores CVE-2018-11420, CVE-2018-11423 y CVE-2018-11424;
    • 1.7 o anteriores para las vulnerabilidades con identificadores CVE-2018-11426, CVE-2018-11427, CVE-2018-11421 y CVE-2018-11422.
Descripción: 

Alexander Zaytsev, de Kaspersky Lab, ha reportado múltiples de tipo restricción impropia de operaciones, consumo de recursos no controlado, desreferencia del puntero NULL, autenticación inapropiada, CSRF, divulgación de información y control de acceso inadecuado, que afectan a los productos OnCell G3470A-LTE Series y OnCell G3100-HSPA Series de Moxa.

Solución: 
  • Para OnCell G3470A-LTE Series, descargar la última versión de firmware del producto.
  • Para OnCell G3100-HSPA Series:
    • descargar la última versión de firmware del producto para solucionar las vulnerabilidades con identificadores CVE-2018-11420, CVE-2018-11423, CVE-2018-11424, CVE-2018-11426 y CVE-2018-11427;
    • añadir mecanismos de seguridad como soluciones VPN punto a punto, únicamente cuando están activadas las funcionalidades OnCell Search Utility y OnCell Central Manager en el producto afectado, para solucionar las vulnerabilidades con identificadores CVE-2018-11421 y CVE-2018-11422.
Detalle: 

Un atacante que aprovechara alguna de las vulnerabilidades críticas descritas en este aviso podría llegar a realizar alguna de las siguientes acciones:

  • denegación de servicio,
  • ejecución remota de código,
  • ataques de fuerza bruta contra parámetros de autenticación,
  • suplantar acciones administrativas a través de la interfaz web,
  • obtención de información sensible,
  • modificar configuraciones y subir firmware.

Se han asignado los siguientes identificadores: CVE-2018-11420, CVE-2018-11421, CVE-2018-11422, CVE-2018-11423, CVE-2018-11424, CVE-2018-11425, CVE-2018-11426 y CVE-2018-11427.

Encuesta valoración