Inicio / Content / Boletín de INCIBE-CERT del 17-02-2021

Boletín de INCIBE-CERT del 17-02-2021

Denegación de servicio en Allen-Bradley MicroLogix 1100 de Rockwell Automation

Fecha de publicación: 
17/02/2021
Importancia: 
4 - Alta
Recursos afectados: 

PLC Allen-Bradley MicroLogix 1100, revisión 1.0.

Descripción: 

Cisco Talos ha reportado a Rockwell Automation una vulnerabilidad de severidad alta que podría permitir a un atacante remoto causar una condición de denegación de servicio (DoS).

Solución: 

Rockwell Automation recomienda a los usuarios de MicroLogix 1100 que migren a MicroLogix 1400 e instalen el firmware de versión 21.006 o posterior.

Para más información, consultar la publicación PN1548.

Detalle: 

Una vulnerabilidad debida a la gestión inadecuada del parámetro de longitud de IPv4 para ICMP podría permitir a un atacante, remoto y no autenticado, enviar paquetes especialmente diseñados, lo que resultaría en un 8H Hard Fault y causaría consecuentemente una condición de denegación de servicio del PLC. Se ha asignado el identificador CVE-2020-6111 para esta vulnerabilidad.

Encuesta valoración

Múltiples vulnerabilidades en respiradores Hamilton-T1

Fecha de publicación: 
17/02/2021
Importancia: 
3 - Media
Recursos afectados: 

T1 Ventilator, versiones 2.2.3 y anteriores.

Descripción: 

Julian Suleder, Raphael Pavlidis y Nils Emmerich, de ERNW Research GmbH, y el Dr. Oliver Matula, de ERNW Enno Rey Netzwerke GmbH, informaron de estas vulnerabilidades a la Oficina Federal de Seguridad de la Información (BSI, Alemania). La BSI proporcionó el informe a CISA. Las vulnerabilidades podrían permitir a un atacante con acceso físico al dispositivo obtener información sensible o provocar una interrupción en el funcionamiento del dispositivo.

Solución: 
  • Actualizar T1 Ventilator a una versión superior a 2.2.3.

Hamilton Medical recomienda a los usuarios las siguientes medidas preventivas:

  • Mantener un control físico estricto del ventilador.
  • Estar atento a las notificaciones, alarmas y alertas.
  • No conectar el aparato a ningún dispositivo de terceros ni utilizar software no autorizado.
Detalle: 
  • Las credenciales embebidas en el respirador podrían permitir a los atacantes, con acceso físico al dispositivo, obtener privilegios de administrador para la interfaz de configuración. Se ha asignado el identificador CVE-2020-27278 para esta vulnerabilidad.
  • Una vulnerabilidad de validación XML podría permitir a los atacantes, con privilegios y acceso físico, inutilizar el dispositivo de forma persistente mediante la carga de archivos de configuración especialmente diseñados. Se ha asignado el identificador CVE-2020-27282 para esta vulnerabilidad.
  • Una vulnerabilidad de divulgación de información podría permitir a los atacantes con acceso físico a los registros de la interfaz de configuración obtener sumas de comprobación válidas para archivos de configuración manipulados. Se ha asignado el identificador CVE-2020-27290 para esta vulnerabilidad.

Encuesta valoración

Múltiples vulnerabilidades en dispositivos Advantech WebAccess

Fecha de publicación: 
17/02/2021
Importancia: 
4 - Alta
Recursos afectados: 

Advantech WebAccess/SCADA versión 9.0.1.

Descripción: 

El investigador Yuri Kramarz, de Cisco Talos, ha descubierto varias vulnerabilidades en dispositivos Advantech WebAccess, que permitirían a un atacante realizar una divulgación de información o una escalada de privilegios y ejecución de código con privilegios administrativos en el dispositivo.

Solución: 

Advantech WebAccess no ha publicado ningún parche para solucionar estas vulnerabilidades.

Se recomienda reducir el grado de exposición de los dispositivos dentro de su red permitiendo únicamente la conexión desde sistemas confiables. También se recomienda restringir el acceso a los sistemas únicamente a usuarios de confianza.

Detalle: 

Las vulnerabilidades encontradas permitirían la divulgación de información a través de una inclusión de archivos locales en la funcionalidad de instalación de Advantech WebAccess, por medio de solicitud HTTP autenticada.

Estas vulnerabilidades también permitirían una elevación de privilegios locales a través de los permisos del sistema de archivos en la instalación de Advantech WebAccess, pudiendo reemplazar módulos binarios o cargados para ejecutar código con privilegios administrativos. Esta vulnerabilidad se produce en diferentes binarios y archivos del sistema, tales como el ejecutable o bibliotecas DLL de PostgreSQL, servicios como SaaS-Composer_keep-alive, WebAccessMongoDB, Dashboard (Grafana) o WISE-PaaS_SaaS-Composer entre otros.

Se han asignado los siguientes identificadores para estas vulnerabilidades: CVE-2020-13550, CVE-2020-13551, CVE-2020-13552, CVE-2020-13553, CVE-2020-13554 y CVE-2020-13555

Encuesta valoración

[Actualización 12/05/2021] Múltiples vulnerabilidades en varios productos de PEPPERL+FUCHS

Fecha de publicación: 
17/02/2021
Importancia: 
4 - Alta
Recursos afectados: 
  • PCV/PXV/PGV:
    • versiones 2.0.0 y anteriores de:
      • PGV100-F200A-B17-V1D,
      • PGV150I-F200A-B17-V1D,
      • PGV100-F200-B17-V1D-7477;
    • versiones 4.2.0 y anteriores de:
      • PXV100-F200-B17-V1D,
      • PXV100-F200-B17-V1D-3636;
    • versiones 3.2.3 y anteriores de:
      • PCV80-F200-B17-V1D,
      • PCV100-F200-B17-V1D,
      • PCV50-F200-B17-V1D,
      • PCV100-F200-B17-V1D-6011-6997;
    • versiones 3.2.5 y anteriores de:
      • PCV100-F200-B17-V1D-6011,
      • PCV100-F200-B17-V1D-6011-8203;
    • versiones 1.0.0 y anteriores de:
      • PXV100-F200-B25-V1D,
      • PXV100I-F200-B25-V1D,
      • PCV100-F200-B25-V1D-6011-6720,
      • PCV50-F200-B25-V1D,
      • PCV80-F200-B25-V1D,
      • PCV100-F200-B25-V1D-6011.
  • PXV/PGV B28 Profisafe:
    • versiones 1.0.3 y anteriores de:
      • PXV100A-F200-B28-V1D,
      • PXV100A-F200-B28-V1D-6011,
      • PGV100A-F200-B28-V1D,
      • PGV100A-F200A-B28-V1D;
    • versiones 2.1.1 y anteriores de:
      • PGV100AQ-F200A-B28-V1D,
      • PGV100AQ-F200-B28-V1D,
      • PXV100AQ-F200-B28-V1D,
      • PXV100AQ-F200-B28-V1D-6011.
  • OHV:
    • versiones 1.1.0 y anteriores de OHV-F230-B17.
  • OIT:
    • versiones 1.3.4 y anteriores de OIT500-F113-B17-CB.
  • PHA:
    • versiones 3.1.5 y anteriores de:
      • PHA300-F200-B17-V1D,
      • PHA400-F200-B17-V1D,
      • PHA300-F200A-B17-V1D,
      • PHA300-F200-B17-T-V1D,
      • PHA200-F200A-B17-V1D,
      • PHA200-F200-B17-V1D,
      • PHA400-F200A-B17-V1D,
      • PHA300-F200A-B17-T-V1D,
      • PHA600-F200A-B17-V1D,
      • PHA500-F200-B17-V1D,
      • PHA500-F200A-B17-V1D,
      • PHA600-F200-B17-V1D,
      • PHA150-F200A-B17-V1D,
      • PHA200-F200A-B17-T-V1D,
      • PHA150-F200-B17-V1D,
      • PHA800-F200-B17-V1D,
      • PHA400-F200A-B17-T-V1D,
      • PHA500-F200A-B17-T-V1D,
      • PHA700-F200-B17-V1D.
  • WCS:
    • versiones 3.0.0 y anteriores de:
      • WCS3B-LS610,
      • WCS3B-LS610H,
      • WCS3B-LS610D,
      • WCS3B-LS610DH,
      • WCS3B-LS610H-OM,
      • WCS3B-LS610DH-OM,
      • WCS3B-LS610D-OM.
      • CS3B-LS610-OM;
    • versiones 1.2.1 y anteriores de:
      • WCS3B-LS510,
      • WCS3B-LS510H,
      • WCS3B-LS510D,
      • WCS3B-LS510DH,
      • WCS3B-LS510H-OM,
      • WCS3B-LS510DH-OM,
      • WCS3B-LS510D-OM,
      • WCS3B-LS510-OM.

[Actualización 12/05/2021]:

  • ICE1 Ethernet IO Modules:
    • versiones F10017 y anteriores de:
      • ICE1-16DI-G60L-V1D,
      • ICE1-16DIO-G60L-C1-V1D,
      • ICE1-16DIO-G60L-V1D,
      • ICE1-8DI8DO-G60L-C1-V1D,
      • ICE1-8DI8DO-G60L-V1D,
      • ICE1-8IOL-G30L-V1D,
      • ICE1-8IOL-G60L-V1D,
      • ICE1-8IOL-S2-G60L-V1D.
Descripción: 

El investigador, Hilscher Gesellschaft, de la empresa Systemautomation mbH, ha reportado 2 vulnerabilidades, ambas con severidad alta y que podrían provocar una denegación de servicio, afectando a los componentes PROFINET IO Device y Ethernet IP Stack, usados en múltiples productos de PEPPERL+FUCHS. El fabricante, a su vez, ha notificado esta vulnerabilidad al CERT@VDE.

Solución: 

El fabricante no ha publicado ningún parche que solucione estas vulnerabilidades, se recomiendan las siguientes medidas de protección externas:

  • minimizar la exposición a la red de los productos afectados y asegurarse de que no son accesibles a través de Internet,
  • aislar los productos afectados de la red corporativa,
  • utilizar métodos seguros, como las VPN en caso de ser necesario el acceso remoto.
Detalle: 
  • El componente PROFINET IO Device es vulnerable a un desbordamiento de búfer, que podría permitir a un atacante remoto detener la realización de solicitudes acíclicas, abandonar todas las conexiones cíclicas establecidas o desaparecer completamente de la red. Se ha asignado el identificador CVE-2021-20986 para esta vulnerabilidad.
  • El componente Ethernet IP Stack es vulnerable a un desbordamiento de búfer, que podría permitir a un atacante remoto provocar denegación de servicio, ejecución remota de código o exposición de código. Se ha asignado el identificador CVE-2021-20987 para esta vulnerabilidad.

[Actualización 12/05/2021]:

  • La longitud real del paquete UDP no se verifica adecuadamente con la longitud indicada por el paquete (IP-Header)(rcX). Se ha asignado el identificador CVE-2021-20988 para esta vulnerabilidad.
  • La implementación de la generación de claves ECC podría permitir a un atacante recuperar la clave privada.(mbedTLS). Se ha asignado el identificador CVE-2019-18222 para esta vulnerabilidad.

Encuesta valoración