Inicio / Content / Boletín de INCIBE-CERT del 15-03-2019

Boletín de INCIBE-CERT del 15-03-2019

Verificación inadecuada de condiciones inusuales en Triconex TriStation Emulator de Schneider Electric

Fecha de publicación: 
15/03/2019
Importancia: 
4 - Alta
Recursos afectados: 
  • Triconex TriStation Emulator Version 1.2.0
Descripción: 

El investigador independiente Tom Westenberg ha identificado una vulnerabilidad de tipo verificación inadecuada de condiciones inusuales. Un atacante remoto podría ejecutar una denegación de servicio (DoS) afectando al emulador.

Solución: 

Todavía no hay una solución para esta vulnerabilidad, pero Schneider Electric nos aconseja:

  • Ubicar las redes de sistemas de control y los dispositivos remotos detrás de los cortafuegos y aislarlos de las redes corporativas.
  • Mejores controles físicos para que el personal no autorizado no tenga acceso al SCI.
  • Escanear los dispositivos extraíbles en una red aislada antes de usarlos en un terminal de SCI.
  • Cuando se requiera acceso remoto, utilizar VPN para mayor seguridad en la red.
Detalle: 
  • Un atacante remoto podría causar una denegación de servicio haciendo uso de un paquete especialmente diseñado que bloquearía el emulador. Se ha reservado el identificador CVE-2018-7803 para esta vulnerabilidad.

Encuesta valoraciĂ³n

Múltiples vulnerabilidades en móviles ecom de PEPPERL+FUCHS

Fecha de publicación: 
15/03/2019
Importancia: 
4 - Alta
Recursos afectados: 
  • i.roc Ci70-Ex
  • Cx70-Ex
  • CT50-Ex
  • Pad-Ex 01
  • Tab-Ex 01
  • Smart-Ex 01
  • Smart-Ex 201
  • Ex-Handy 09
  • Ex-Handy 209
Descripción: 

Ben Seri y Gregory Vishnepolsky de Armis han identificado varios vectores de ataque relacionados con las comunicaciones Bluetooth y han publicado la vulnerabilidad BlueBorne. Un atacante podría tomar el control del dispositivo y ejecutar código arbitrario o acceder a datos sensibles.

Solución: 

PEPPERL+FUCHS recomienda actualizar los dispositivos, según el que esté afectado, con el firmware correspondiente:

  • CT50-Ex Android, Smart-Ex 01 y Smart-Ex 201: FOTA-Update
  • CT50-Ex Windows y Pad-Ex 01: Microsoft Update
Detalle: 
  • Un atacante remoto no autenticado podría obtener información privada sobre el dispositivo o usuario, ejecutar código arbitrario o realizar un ataque man-in-the-middle (MitM). Se han asignado los identificadores CVE-2017-0781, CVE-2017-0785, CVE-2017-0782, CVE-2017-0783, CVE-2017-8628 para estas vulnerabilidades.

Encuesta valoración

Vulnerabilidad de elemento de ruta de búsqueda no controlado en Sentinel UltraPro de Gemalto

Fecha de publicación: 
15/03/2019
Importancia: 
3 - Media
Recursos afectados: 
  • Sentinel UltraPro Client Library ux32w.dll, versiones 1.3.0, 1.3.1 y 1.3.2

[Actualización 18/03/2019]:

  • InduSoft Web Studio versiones anteriores a 8.1 SP3
  • InTouch Edge HMI (antes denominado InTouch Machine Edition) versiones anteriores a 2017 Update 3
Descripción: 

El investigador ADLab de Venustech ha reportado una vulnerabilidad de elemento de ruta de búsqueda no controlado. Un atacante podría ejecutar código o comandos arbitrarios.

[Actualización 18/03/2019]:

El componente afectado por esta vulnerabilidad es utilizado en InduSoft Web Studio y InTouch Edge HMI.

Solución: 
  • Los usuarios afectados deben actualizar a la versión 1.3.3 que soluciona esta vulnerabilidad.

[Actualización 18/03/2019]:

Detalle: 
  • Existe una vulnerabilidad de elemento de ruta de búsqueda no controlado que podría permitir a un atacante cargar y ejecutar un fichero malicioso desde la librería ux32.dll en Sentinel UltraPro. Se ha asignado el identificador CVE-2019-6534 para esta vulnerabilidad.

Encuesta valoración