Inicio / Content / Boletín de INCIBE-CERT del 20-08-2020

Boletín de INCIBE-CERT del 20-08-2020

Múltiples vulnerabilidades en NPort IAW5000A-I/O Series de Moxa

Fecha de publicación: 
20/08/2020
Importancia: 
4 - Alta
Recursos afectados: 

NPort IAW5000A-I/O Series, versiones de firmware 2.1 o anteriores.

Descripción: 

Evgeniy Druzhinin y Ilya Karpov, Rostelecom-Solar, han reportado a Moxa múltiples vulnerabilidades de tipo fijación de sesión, gestión de privilegios inadecuada, requisitos de contraseña débiles, transmisión de texto sin cifrar con información confidencial, restricción inadecuada de intentos de autenticación excesivos y divulgación de información.

Solución: 

Actualizar el firmware del producto afectado a la versión 2.2.

Detalle: 

La explotación exitosa de estas vulnerabilidades podría permitir a un atacante secuestrar la sesión robando las cookies del usuario, realizar solicitudes con privilegios administrativos, utilizar credenciales débiles, almacenar y transmitir en el servidor web las credenciales de servicios de terceros en texto sin formato, utilizar ataques de fuerza bruta para evitar la autenticación en una sesión SSH/Telnet y acceder a información confidencial en el servicio web integrado sin la debida autorización.

Encuesta valoración

Múltiples vulnerabilidades en Philips SureSigns VS4

Fecha de publicación: 
20/08/2020
Importancia: 
3 - Media
Recursos afectados: 

Sistema de monitorización de pacientes Philips SureSigns VS4, versión A.07.107 y anteriores.

Descripción: 

Philips, de acuerdo con su política de divulgación coordinada de vulnerabilidades, ha notificado 3 vulnerabilidades que le reportó Cleveland Clinic, 2 de severidad media y 1 baja, de tipo validación de entrada inadecuada, fuerza de cifrado inadecuada y control de acceso inadecuado.

Solución: 

Philips recomienda que los clientes cambien todas las contraseñas del sistema en sus dispositivos con contraseñas únicas para cada uno y que lo aseguren físicamente cuando no esté en uso. También se recomienda a los clientes que consideren reemplazar los dispositivos Philips SureSigns VS4 por una tecnología más nueva.

Detalle: 

La explotación exitosa podría permitir que un usuario no autorizado acceda a los controles administrativos y las configuraciones del sistema, lo que permitiría realizar cambios en los elementos de configuración del sistema, haciendo que los datos del paciente se envíen a un destino remoto. Esta vulnerabilidad no afecta la seguridad del paciente. [Actualización 21/08/2020] Se han reservado los identificadores CVE-2020-1623, CVE-2020-16241 y CVE-2020-16239 para estas vulnerabilidades.

Encuesta valoración