Inicio / Content / Boletín de INCIBE-CERT del 18-06-2021

Boletín de INCIBE-CERT del 18-06-2021

Vulnerabilidad en OPC-UA C++ SDK de Softing

Fecha de publicación: 
18/06/2021
Importancia: 
4 - Alta
Recursos afectados: 

OPC UA C++ SDK, versiones desde 5.59 hasta 5.64.

Descripción: 

Eran Jacob, de OTORIO, ha reportado esta vulnerabilidad de severidad alta a CISA que podría permitir a un atacante remoto ser capaz de bloquear el dispositivo, dando lugar a una condición de denegación de servicio.

Solución: 

Dado que esta vulnerabilidad sólo afecta al protocolo de editor y suscriptor, se recomienda que los usuarios de este protocolo que se actualicen a la versión 5.65 o superior o que desactiven la funcionalidad.

Detalle: 

Las funciones de la biblioteca exportada no validan correctamente los objetos de extensión recibidos, lo que podría permitir a un atacante bloquear el software, enviando una serie de paquetes especialmente diseñados para acceder a varias ubicaciones de memoria inesperadas. Se ha asignado el identificador CVE-2021-32994 para esta vulnerabilidad.

Encuesta valoración

[Actualización 18/06/2021] Múltiples vulnerabilidades en productos de Rockwell Automation

Fecha de publicación: 
09/06/2021
Importancia: 
5 - Crítica
Recursos afectados: 
  • AADvance Controller versión 1.40 y anteriores;
  • ISaGRAF Runtime in ISaGRAF6 Workbench versión 6.6.8 y anteriores;
  • Familia Micro800, todas las versiones.

[Actualización 18/06/2021] Xylem informa de que los dispositivos MultiSmart Gen-1 y MultiSmart Gen-2, con firmware anterior a la versión 3.2.0, contienen una versión de ISaGRAF 5.x. Si ISaGRAF está activado en esos dispositivos, podrían verse afectados por estas vulnerabilidades.

Descripción: 

Kaspersky ha reportado 1 vulnerabilidad de severidad crítica, 2 altas y 2 medias, a Rockwell Automation, que podrían permitir la ejecución remota de código, la divulgación de información o la carga, lectura o borrado de archivos.

Solución: 
  • Actualizar a ISaGRAF Runtime 5 Versión 5.72.00;
  • Recomendación a los usuarios finales que restrinjan o bloqueen el acceso en TCP 1131 y TCP 1132 desde fuera del sistema de control industrial;
  • Confirmar que se sigue el principio del usuario con menos privilegios y que el acceso de la cuenta de usuario/servicio a la ubicación de la carpeta de Runtime se concede con una cantidad mínima de derechos necesarios.

[Actualización 18/06/2021] Consultar las publicaciones de Rockwell Automation y Schneider Electric, Xylem, o ponerse en contacto con GE para obtener más información sobre cómo mitigar estas vulnerabilidades en otros productos afectados..

Detalle: 

Vulnerabilidades por las cuales la ejecución correcta de estas vulnerabilidades puede producir una ejecución de código remoto, la divulgación de información o una denegación de servicio.

  • Algunos comandos utilizados por el protocolo ISaGRAF eXchange Layer (IXL) realizan varias operaciones en el sistema de archivos. La comprobación inadecuada del parámetro que apunta al nombre del archivo podría permitir a un atacante remoto, no autenticado, recorrer el directorio de una aplicación y ejecutar código remoto. Se ha asignado el identificador CVE-2020-25176 para esta vulnerabilidad de severidad crítica.
  • ISaGRAF Runtime almacena la contraseña en texto plano en un archivo que está en el mismo directorio que el archivo ejecutable. ISaGRAF Runtime lee el archivo y guarda los datos en una variable sin ninguna modificación adicional. Un atacante local, no autenticado, podría comprometer las contraseñas de los usuarios, resultando en la divulgación de información. Se ha asignado el identificador CVE-2020-25184 para esta vulnerabilidad de severidad alta.
  • ISaGRAF Workbench se comunica con ISaGRAF Runtime usando TCP/IP. Los datos se transfieren sin cifrado, lo que podría permitir a un atacante remoto no autenticado cargar, leer y borrar archivos. Se ha asignado el identificador CVE-2020-25178 para esta vulnerabilidad de severidad alta.

Para el resto de vulnerabilidades de severidad media se han asignado los identificadores CVE-2020-25182 y CVE-2020-25180.

Encuesta valoración

[Actualización 25/08/2021] Múltiples vulnerabilidades en Advantech WebAccess/SCADA

Fecha de publicación: 
18/06/2021
Importancia: 
4 - Alta
Recursos afectados: 

WebAccess/SCADA, versión 9.0.1 y anteriores.

Descripción: 

Chizuru Toyama, investigador de TXOne IoT/ICS Security Research Labs, en colaboración con ZDI de Trend Micro, ha detectado 2 vulnerabilidades, una de severidad alta y otra media, que podrían permitir a un atacante leer archivos fuera del directorio previsto o redirigir a un usuario a una página web maliciosa.

Solución: 

Advantech es consciente de estas vulnerabilidades y actualmente está desarrollando una solución. Para más información, contactar con Advantech a través de la web o vía telefónica (1-888-576-9668).

Hasta entonces, es recomendable aplicar las medidas de mitigación descritas en el apartado 4 del aviso del CISA.

[Actualización 25/08/2021]:

Actualizar a la versión v9.0.1.

Detalle: 
  • WebAccess/SCADA es vulnerable a la redirección, lo que podría permitir a un atacante enviar una URL maliciosa con el objetivo de redirigir a un usuario a una página web arbitraria. Se ha asignado el identificador CVE-2021-32956 para esta vulnerabilidad alta.
  • Una limitación incorrecta de nombre de ruta relativa a un directorio restringido (relative path traversal) podría permitir a un atacante remoto leer archivos arbitrarios en el sistema de archivos. Se ha asignado el identificador CVE-2021-32954 para esta vulnerabilidad media.

Encuesta valoración

Vulnerabilidad de inyección SQL en Primion-Digitek Secure 8

Fecha de publicación: 
18/06/2021
Importancia: 
5 - Crítica
Recursos afectados: 

Secure 8 (Evalos), versión 1.0.1.55.

Descripción: 

INCIBE ha coordinado la publicación de una vulnerabilidad en el sistema Secure 8, con el código interno INCIBE-2021-0243, que ha sido descubierta por Ander Martínez de Titanium Industrial Security.

A esta vulnerabilidad se le ha asignado el código CVE-2021-3604. Se ha calculado una puntuación base CVSS v3.1 de 9,8; siendo el cálculo del CVSS el siguiente: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.

Solución: 

Esta vulnerabilidad ha sido resuelta por Primion-Digitek en Evalos 8 3.3.5.

Detalle: 

Primion-Digitek Secure 8 no valida correctamente los datos de entrada del usuario, lo que podría permitir a un atacante remoto realizar un ataque a ciegas por inyección SQL (Blind SQL Injection).

Un atacante podría explotar esta vulnerabilidad para extraer información de usuarios y cuentas de administrador almacenadas en la base de datos.

Esta vulnerabilidad ha sido resuelta por Primion-Digitek en Evalos8 3.3.5.

CWE 89: neutralización incorrecta de elementos especiales usados en un comando SQL (Inyección SQL).

Línea temporal:

14/12/2020 – Divulgación de los investigadores.
04/02/2021 – Los investigadores contactan con INCIBE.
05/05/2021 – Primion-Digitek confirma la vulnerabilidad a INCIBE y la publicación de la versión correctora y la nueva versión de software (security patch).
18/06/2021 – INCIBE publica el aviso.

Si tiene más información sobre este aviso, póngase en contacto con INCIBE, como se indica en la sección de asignación y publicación de CVE.

Encuesta valoración