Inicio / Content / Boletín de INCIBE-CERT del 26-06-2020

Boletín de INCIBE-CERT del 26-06-2020

Fallos de autenticación en Philips Ultrasound Systems

Fecha de publicación: 
26/06/2020
Importancia: 
2 - Baja
Recursos afectados: 
  • Ultrasonido ClearVue, versiones 3.2 y anteriores.
  • Ultrasonido CX, versiones 5.0.2 y anteriores.
  • Ultrasonido EPIQ / Affiniti, versiones VM5.0 y anteriores.
  • Ultrasonido Sparq, versiones 3.0.2 y anteriores.
  • Ultrasonido Xperius, todas las versiones.
Descripción: 

Philips ha informado de una vulnerabilidad en sus productos Ultrasound Systems que podría permitir que un atacante, no autenticado, vea o modifique información del sistema.

Solución: 

Se recomienda instalar la versión de abril 2020 de Ultrasound EPIQ / Affiniti Versión VM6.0. Philips recomienda además a los usuarios de sistemas Ultrasound EPIQ / Affiniti contactar con su equipo de soporte regional.

Para otros productos está previsto solucionar esta vulnerabilidad en las siguientes versiones:

  • Ultrasound ClearVue versión 3.3, prevista para el cuatro trimestre de 2020.
  • Ultrasound CX versión 5.0.3, prevista para el cuatro trimestre de 2020.
  • Ultrasound Sparq versión 3.0.3, prevista para el cuatro trimestre de 2020.

Philips recomienda además garantizar que los proveedores de servicios que usan los dispositivos puedan tener disponibilidad de los dispositivos durante las tareas de operación del servicio.

Se recomienda contactar con el servicio técnico de Philips o con su equipo de soporte regional.

Detalle: 

La vulnerabilidad detectada en los productos Philips Ultrasound Systems permitiría a un atacante usar una ruta o canal alternativo que no necesite autenticación de inicio de sesión, para ver o modificar información. Se ha reservado el identificador CVE-2020-14477 para esta vulnerabilidad.

Encuesta valoración

Múltiples vulnerabilidades en controladores de luz ENTTEC

Fecha de publicación: 
26/06/2020
Importancia: 
4 - Alta
Recursos afectados: 

Estas vulnerabilidades afectan al firmware versión 70044_actualización_05032019-482 y anteriores, para los siguientes productos:  

  • Datagate Mk2,
  • Storm 24,
  • Pixelator,
  • E-Streamer Mk2.
Descripción: 

Se han publicado múltiples vulnerabilidades presentes en controladores de luz que podrían permitir a un atacante obtener acceso SSH/SCP no autorizado a los dispositivos, inyectar código malicioso, ejecutar comandos con privilegios de root o leer, escribir y ejecutar archivos en los directorios del sistema como cualquier otro usuario.

Solución: 

ENTTEC aún no ha lanzado ninguna actualización. Recomienda que los dispositivos se ubiquen detrás de los firewalls y controles de red apropiados, y que no sean accesibles desde Internet.

Detalle: 
  • La existencia de contraseñas embebidas para el acceso remoto SSH y SCP como usuario root. Se ha asignado el identificador CVE-2019-12776 para esta vulnerabilidad.
  • Varias vulnerabilidades de XSS almacenado, en el software de configuración web Datagate Mk2 de ENTTEC, podrían permitir a un atacante no autenticado inyectar código malicioso directamente en la aplicación. Se ha asignado el identificador CVE-2019-12774 para esta vulnerabilidad.
  • Los controladores de luz permiten acceso de alto privilegio como root  a través de la capacidad de sudo sin requerir un control de acceso apropiado. Se ha asignado el identificador CVE-2019-12775 para esta vulnerabilidad.
  • El sistema remplaza los permisos del sistema operativo subyacente con permisos altamente inseguros de lectura, escritura y ejecución para todos los usuarios. Se ha asignado el identificador CVE-2019-12777 para esta vulnerabilidad.

Encuesta valoración

Múltiples vulnerabilidades en varios productos de Rockwell Automation

Fecha de publicación: 
26/06/2020
Importancia: 
4 - Alta
Recursos afectados: 
  • FactoryTalk Services Platform, versiones 6.11.00 y anteriores;
  • FactoryTalk View SE, versiones:
    • 9.0 y anteriores;
    • 10.0.
Descripción: 

Applied Risk, junto con Ilya Karpov y Evgeny Druzhinin de ScadaX Security, han reportado 3 vulnerabilidades a Rockwell Automation, todas de severidad alta, de tipo restricción inadecuada de referencia a XXE (XML External Entity), almacenamiento de información sensible en texto claro y cifrado de contraseña débil.

Solución: 
  • Seguir las instrucciones de 1092746 para actualizar FactoryTalk Services Platform;
  • se recomienda a los usuarios de las versiones afectadas de DeskLock proporcionadas con FactoryTalk View SE que actualicen a una versión de software 10.0 o posterior.
Detalle: 
  • Un atacante remoto, no autenticado, podría usar un ataque de entidad externa XML (XXE) para explotar archivos XML mal configurados, logrando acceder a contenido local o remoto. Esto podría causar una condición de denegación de servicio (DoS) y permitiría al atacante leer arbitrariamente cualquier archivo local a través de servicios a nivel de sistema. Se ha reservado el identificador CVE-2020-14478 para esta vulnerabilidad.
  • Debido a que las credenciales se almacenan en texto sin formato en la RAM, un atacante autenticado, local, podría obtener acceso a ciertas credenciales, incluidas las de inicio de sesión de Windows. Se ha reservado el identificador CVE-2020-14480 para esta vulnerabilidad.
  • La herramienta DeskLock, proporcionada con FactoryTalk View SE, utiliza un algoritmo de cifrado débil que podría permitir que un atacante autenticado, local, descifre las credenciales del usuario, incluido el usuario de Windows o las contraseñas de Windows DeskLock. Si el usuario comprometido tiene una cuenta administrativa, el atacante podría obtener acceso completo al sistema operativo del usuario y a ciertos componentes de FactoryTalk View SE. Se ha reservado el identificador CVE-2020-14481 para esta vulnerabilidad.

Encuesta valoración