Inicio / Content / Boletín de INCIBE-CERT del 23-11-2021

Boletín de INCIBE-CERT del 23-11-2021

Múltiples vulnerabilidades en R-SeeNet de Advantech

Fecha de publicación: 
23/11/2021
Importancia: 
4 - Alta
Recursos afectados: 

Advantech R-SeeNet, versión 2.4.15 (30/07/2021).

Descripción: 

El investigador, Yuri Kramarz, de Cisco Talos, ha reportado veintiséis vulnerabilidades de severidad alta que podrían permitir a un atacante realizar una escalada de privilegios o una inyección SQL.

Solución: 

Actualizar a una versión posterior de la 2.4.15 (30/07/2021).

Detalle: 
  • Una asignación incorrecta de permisos por defecto en la versión de instalación en Windows parar el producto afectado, podría permitir a un atacante realizar una escalada de privilegios hasta el nivel de NT SYSTEM, reemplazando un archivo por otro manipulado. Se han asignado los identificadores CVE-2021-21910, CVE-2021-21911 y CVE-2021-21912 para esta vulnerabilidad.
  • Múltiples vulnerabilidades de tipo inyección SQL existen en la página ‘device_list’ del producto afectado, que podrían ser explotadas por un atacante, autenticado o no,  mediante peticiones HTTP. Para estas vulnerabilidades se han asignado los siguientes identificadores: CVE-2021-21924, CVE-2021-21925, CVE-21926, CVE-2021-21927, CVE-2021-21928, CVE-2021-21929, CVE-2021-21930, CVE-2021-21931, CVE-2021- 21932, CVE-2021-21933, CVE-2021-21934, CVE-2021-21935, CVE-2021-21936, CVE-2021-21937, CVE-2021-21920,CVE-2021-21921, CVE-2021-21922, CVE-2021-21923, CVE-2021-21915, CVE-2021-21916, CVE-2021-21917, CVE-2021-21918 y CVE-2021-21919.

Encuesta valoración