Inicio / Content / Boletín de INCIBE-CERT del 19-02-2020

Boletín de INCIBE-CERT del 19-02-2020

Desbordamiento de búfer basado en memoria dinámica en OpenEnterprise de Emerson

Fecha de publicación: 
19/02/2020
Importancia: 
4 - Alta
Recursos afectados: 
  • OpenEnterprise Server 2.83 está afectado si los protocolos Modbus o ROC Interfaces han sido instalados y están en uso;
  • OpenEnterprise, desde 3.1 hasta 3.3.3, todas las versiones.
Descripción: 

Roman Lozko, de Kaspersky ICS CERT, ha informado de una vulnerabilidad de desbordamiento de búfer basado en memoria dinámica (heap), que afecta al producto OpenEnterprise de Emerson.

Solución: 

Actualizar OpenEnterprise a la versión 3.3 SP4 (3.3.4), disponible desde la web de soporte de Emerson.

Detalle: 

Un script, especialmente diseñado, puede servir para ejecutar código en el servidor de OpenEnterprise, generando un desbordamiento de búfer basado en memoria dinámica (heap). Se ha reservado el identificador CVE-2020-6970 para esta vulnerabilidad.

Encuesta valoración

Referencias: 
ICS Advisory (ICSA-20-049-02) Emerson OpenEnterprise
Etiquetas: 
Actualización
Infraestructuras críticas
Vulnerabilidad

Fallo del mecanismo de protección en múltiples productos de GE

Fecha de publicación: 
19/02/2020
Importancia: 
3 - Media
Recursos afectados: 
  • Vivid, todas las versiones;
  • LOGIQ, todas las versiones salvo LOGIQ 100 Pro;
  • Voluson, todas las versiones;
  • Versana Essential, todas las versiones;
  • Invenia ABUS Scan station, todas las versiones;
  • Venue todas las versiones, no se incluyen Venue 40 R1-3 y Venue 50 R4-5.
Descripción: 

Los investigadores Marc Ruef y Rocco Gagliardi han reportado una vulnerabilidad de tipo fallo del mecanismo de protección que podría permitir a un atacante obtener acceso al sistema operativo del dispositivo afectado.

Solución: 

GE Healthcare recomienda a las organizaciones restringir el acceso físico a los dispositivos para personas no autorizadas, además de activar el bloqueo del dispositivo por contraseña en la GUI, si es posible.

Detalle: 

Una vulnerabilidad de escape de entorno de escritorio restringido, en la funcionalidad del modo Kiosk, podría permitir a un atacante escapar del entorno restringido y acceder al sistema operativo subyacente, mediante entradas especialmente diseñadas. Se ha asignado el identificador CVE-2020-6977.

Encuesta valoración

Referencias: 
ICS Medical Advisory (ICSMA-20-049-02) GE Ultrasound products
Etiquetas: 
Vulnerabilidad

Gestión incorrecta de privilegios en INNCOM INNControl 3 de Honeywell

Fecha de publicación: 
19/02/2020
Importancia: 
3 - Media
Recursos afectados: 

INNControl 3, versiones 3.21 y anteriores.

Descripción: 

El equipo de Honeywell ha reportado una vulnerabilidad, de tipo gestión incorrecta de privilegios, que afecta a su producto INNCOM INNControl 3.

Solución: 

Los usuarios deben ponerse en contacto con un representante de ventas de INNCOM o con un integrador de sistemas autorizado para obtener información sobre la actualización de su sistema a la última versión. Honeywell también ofrece soporte en línea de INNCOM.

Detalle: 

La vulnerabilidad detectada, de gestión incorrecta de privilegios, podría permitir a un atacante elevar los privilegios de usuario dentro de la aplicación INNControl mediante la modificación de archivos de configuración local. Se ha reservado el identificador CVE-2020-6968 para esta vulnerabilidad.

Encuesta valoración

Referencias: 
ICS Advisory (ICSA-20-049-01) Honeywell INNCOM INNControl 3
Etiquetas: 
Actualización
Infraestructuras críticas
Sanidad
Vulnerabilidad