Inicio / Content / Boletín de INCIBE-CERT del 24-09-2021

Boletín de INCIBE-CERT del 24-09-2021

Múltiples vulnerabilidades en productos de Trane

Fecha de publicación: 
24/09/2021
Importancia: 
5 - Crítica
Recursos afectados: 
  • Symbio 700 (incluidos sistemas Odyssey Split), versiones anteriores a 1.00.0023;
  • Symbio 800 (incluidos IntelliPak Rooftop Air Conditioner y los modelos de enfriadores: CenTraVac Simplex, CentraVac Duplex, ACR, RTAF, CMAF, HDWA.RTWF, CGWF, CXWF, CCUF y GVAF), versiones anteriores a 1.00.0007;
  • Tracer SC, versiones anteriores a 4.4 SP7;
  • Tracer SC+, versiones anteriores a 5.3 SP3;
  • Tracer Concierge, versiones anteriores a 5.3 SP3.
Descripción: 

Trane ha reportado al CISA vulnerabilidades de severidad critica y alta, por las que un un usuario autenticado, podría ejecutar código arbitrario en el controlador.

Solución: 

Actualizar:

  • controladores Symbio 700 a la versión 1.00.0023 u otra posterior,
  • controladores Symbio 800 a la versión 1.00.0007 u otra posterior,
  • Tracer SC a la versión 4.4 SP7 u otra posterior,
  • Tracer SC+ a la versión 5.5 SP3 u otra posterior,
  • Tracer Concierge a la versión 5.5 u otra posterior.

Contactar con un comercial de Trane para instalar el firmware actualizado.

Se recomienda a los usuarios de Tracer SC migrar a Tracer SC+, ya que se aproxima el fin de su ciclo de vida.

Detalle: 

Los controladores afectados no comprueban adecuadamente la entrada que contiene la sintaxis del código, lo que podría permitir a un atacante alterar el flujo de control previsto del software. Se han asignado los identificadores CVE-2021-38450 y CVE-2021-38448 para estas vulnerabilidades de severidad crítica y alta.

Encuesta valoración

[Actualización 24/09/2021] Múltiples vulnerabilidades en TBox de Ovarro

Fecha de publicación: 
24/03/2021
Importancia: 
4 - Alta
Recursos afectados: 
  • TWinSoft, todas las versiones anteriores a la 12.4 y todas las versiones de firmware anteriores a la 1.46;
  • TBoxLT2, todos los modelos;
  • TBox MS-CPU32;
  • TBox MS-CPU32-S2;
  • TBox RM2, todos los modelos;
  • TBox TG2, todos los modelos.
Descripción: 

El investigador Uri Katz de Claroty ha reportado 5 vulnerabilidades de severidad alta que podrían permitir a un atacante remoto ejecutar código o causar una condición de denegación de servicio.

Solución: 

Actualizar TWinSoft a la versión 12.4 y el firmware de TBox a la versión 1.46 a través de la sección de atención al cliente en la página web del fabricante.

[Actualización 24/09/2021]

Actualizar a la versión 12.5 de lTWinSoft.

Detalle: 
  • Una vulnerabilidad de control inapropiado en la generación de código podría permitir a un atacante ejecutar código malicioso aprovechando que el paquete “ipk”, que contiene la configuración de TWinSoft, puede ser cargado, extraído y ejecutado en TBox. Se ha asignado el identificador CVE-2021-22646 para esta vulnerabilidad.
  • Una asignación incorrecta de permisos en las funciones para el acceso a archivos Modbus propias de TBox podría permitir a un atacante leer, modificar o eliminar archivos de configuración. Se ha asignado el identificador CVE-2021-22648 para esta vulnerabilidad.
  • Un atacante podría causar una condición de denegación de servicio haciendo uso de tramas Modbus, especialmente diseñadas, aprovechando una vulnerabilidad de consumo no controlado de recursos. Se ha asignado el identificador CVE-2021-22642 para esta vulnerabilidad.
  • Un atacante podría descifrar la contraseña de inicio de sesión mediante sniffing de las comunicaciones y ataques de fuerza bruta aprovechando una protección insuficiente de las credenciales. Se ha asignado el identificador CVE-2021-22640 para esta vulnerabilidad.
  • TWinSoft utiliza clave de cifrado codificada en texto claro para el usuario “TwinSoft”. Se ha asignado el identificador CVE-2021-22644 para esta vulnerabilidad.

[Actualización 24/09/2021]

  • La utilización de TWinSoft y un archivo de proyecto fuente malicioso (TPG), para extraer archivos en la máquina que ejecuta TWinSoft, podría permitir a un atacante la ejecución remota de código. Se ha asignado el identificador CVE-2021-22650 para esta vulnerabilidad.

Encuesta valoración