Inicio / Content / Boletín de INCIBE-CERT del 30-06-2021

Boletín de INCIBE-CERT del 30-06-2021

[Actualización 16/07/2021] Múltiples vulnerabilidades en productos CODESYS

Fecha de publicación: 
30/06/2021
Importancia: 
5 - Crítica
Recursos afectados: 

Todos los servidores web de CODESYS V2 que funcionen de forma autónoma o como parte del sistema de ejecución de CODESYS en versiones anteriores a 1.1.9.20.

Descripción: 

Vyacheslav Moskvin, Sergey Fedonin y Anton Dorfman, investigadores de Positive Technologies, han descubierto 6 vulnerabilidades críticas, cuya explotación podrían provocar accesos a memoria no válidos para ejecutar código o bloquear el servidor web de CODESYS o el sistema de tiempo de ejecución de CODESYS Control.

Solución: 

CODESYS GmbH ha publicado la versión 1.1.9.20 del servidor web CODESYS V2 para resolver las vulnerabilidades señaladas. Esta versión del servidor web de CODESYS V2 también forma parte de la versión 2.3.9.66 de configuración del sistema de desarrollo de CODESYS.

[Actualización 16/07/2021] CODESYS GmbH ha publicado la versión V1.1.9.21 del servidor web de CODESYS V2, tanto en formato standalone como formando parte de la versión de configuración del sistema de desarrollo CODESYS V2.3.9.67.

Detalle: 
  • Solicitudes del servidor web, especialmente diseñadas, podrían causar un desbordamiento de búfer basado en la pila (stack) y, por lo tanto, podrían ejecutar código arbitrario en el servidor web de CODESYS o desencadenar una condición de denegación de servicio debido a un fallo en dicho servidor. Se ha asignado el identificador CVE-2021-30189 para esta vulnerabilidad.
  • La gestión de usuarios de CODESYS V2.3 WebVisu permite el control del acceso a las páginas de visualización en función del usuario. Sin embargo, las solicitudes subordinadas para leer o escribir valores se reenvían al sistema de tiempo de ejecución de CODESYS Control, independientemente de que la autenticación sea correcta, lo que podría permitir que las solicitudes del servidor web especialmente diseñadas pasasen por alto la gestión de usuarios y leyesen o escribiesen valores en el PLC, sin necesidad de autenticación. Se ha asignado el identificador CVE-2021-30190 para esta vulnerabilidad.
  • Solicitudes del servidor web, especialmente diseñadas, podrían provocar una lectura/escritura fuera de límites de un búfer en el servidor web de CODESYS, lo que conduciría a una condición de denegación de servicio. Se ha asignado el identificador CVE-2021-30191 para esta vulnerabilidad.
  • Solicitudes del servidor web, especialmente diseñadas, podrían eludir las comprobaciones de seguridad de los archivos relacionados con el proyecto de arranque en el sistema de tiempo de ejecución de CODESYS Control para cargarlos desde ese mismo sistema. Se ha asignado el identificador CVE-2021-30192 para esta vulnerabilidad.
  • Solicitudes del servidor web, especialmente diseñadas, podrían utilizarse para escribir arbitrariamente en memoria en el sistema de tiempo de ejecución de CODESYS Control y, por tanto, podrían ejecutar código en dicho sistema o provocar una situación de denegación de servicio debido a un fallo de dicho sistema. Se ha asignado el identificador CVE-2021-30193 para esta vulnerabilidad.
  • Solicitudes del servidor web, especialmente diseñadas, podrían utilizarse para leer arbitrariamente en memoria en el sistema de tiempo de ejecución de CODESYS Control o también para bloquear el servidor web de CODESYS. Se ha asignado el identificador CVE-2021-30194 para esta vulnerabilidad.

Encuesta valoración

Múltiples vulnerabilidades en exacqVision de Johnson Controls

Fecha de publicación: 
30/06/2021
Importancia: 
3 - Media
Recursos afectados: 
  • exacqVision Web Service, versión 21.03 y anteriores;
  • exacqVision Enterprise Manager, versión 20.12 y anteriores.
Descripción: 

Milan Kyselica y Roman Stevanak han reportado 2 vulnerabilidades a Johnson Controls, ambas de severidad media, que podrían permitir a un atacante enviar peticiones maliciosas suplantando a la víctima.

Solución: 

Actualizar a:

  • exacqVision Web Service, versión 21.06;
  • exacqVision Enterprise Manager, versión 21.03.
Detalle: 

El software no valida, filtra, sanea y/o codifica suficientemente la entrada controlada por el usuario antes de colocarla en la salida utilizada como página web, que se muestra a otros usuarios, lo que podría permitir a un atacante enviar peticiones maliciosas en nombre de la víctima a través de un XSS (Cross-site Scripting). Se han asignado los identificadores CVE-2021-27659 y CVE-2021-27658 para estas vulnerabilidades.

Encuesta valoración

Múltiples vulnerabilidades en I/O-Check Service de WAGO

Fecha de publicación: 
30/06/2021
Importancia: 
5 - Crítica
Recursos afectados: 

Están afectadas todas las versiones de firmware FW18 Parche 2 y anteriores de los siguientes productos:

  • Series PFC100 (750-81xx/xxx-xxx);
  • Series PFC200 (750-82xx/xxx-xxx);
  • Series Wago Edge Controller 752-8303/8000-0002;
  • Series Wago Touch Panel 600 Standard Line (762-4xxx);
  • Series Wago Touch Panel 600 Advanced Line (762-5xxx);
  • Series Wago Touch Panel 600 Marine Line (762-6xxx).
Descripción: 

Uri Katz, investigador de Claroty, coordinado por el CERT@VDE, ha identificado múltiples vulnerabilidades en distintos productos de WAGO que ha reportado al propio fabricante. La explotación exitosa de estas vulnerabilidades podrían permitir a un atacante poder manipular o interrumpir el dispositivo.

Solución: 

Actualizar el firmware a la versión FW18 Patch 3, publicado en junio de 2021.

Detalle: 
  • Un atacante podría enviar un paquete especialmente diseñado que contenga comandos del sistema operativo para bloquear el proceso iocheck y escribir en memoria. Se ha asignado el identificador CVE-2021-34566 para esta vulnerabilidad de nivel crítico.
  • Un atacante podría enviar un paquete especialmente diseñado que contenga comandos del sistema operativo para provocar una denegación de servicio y una lectura fuera de límites. Se ha asignado el identificador CVE-2021-34567 para esta vulnerabilidad de nivel alto.
  • Asignación de recursos sin límites: un atacante podría enviar un paquete especialmente diseñado que contenga comandos del sistema operativo para provocar una denegación de servicio. Se ha asignado el identificador CVE-2021-34568 para esta vulnerabilidad de nivel alto.
  • Un atacante podría enviar un paquete especialmente diseñado que contenga comandos del sistema operativo para bloquear la herramienta de diagnóstico y escribir en memoria. Se ha asignado el identificador CVE-2021-34569 para esta vulnerabilidad de nivel crítico.

Encuesta valoración

Vulnerabilidad en Secure Remote Access Site de Claroty

Fecha de publicación: 
30/06/2021
Importancia: 
3 - Media
Recursos afectados: 

Versiones 3.0 a 3.2

Descripción: 

Alphastrike Labs ha reportado esta vulnerabilidad de severidad media, que podría permitir a un atacante con acceso al sistema local (Linux) saltarse los controles de acceso al archivo de configuración central del software SRA Site.

Solución: 

Actualizar su instalación de SRA a la versión 3.2.1 (publicada el 27 de abril de 2021). Los usuarios que no puedan aplicar el último parche deberán restringir el acceso de los no administradores al sistema que aloja el software SRA Site como medida de mitigación provisional.

Los usuarios pueden ponerse en contacto con el soporte de Claroty o con un gestor de éxito de clientes para obtener la última versión de SRA, que incluye la corrección de esta vulnerabilidad.

Detalle: 

La explotación exitosa de esta vulnerabilidad podría permitir a un atacante con acceso a la interfaz de línea de comandos local obtener la clave secreta, permitiéndole posteriormente generar tokens de sesión válidos para la interfaz de usuario web. Con el acceso a la interfaz web, un atacante podría acceder a los activos gestionados por la instalación de SRA y comprometer la instalación. Se ha asignado el identificador CVE-2021-32958 para esta vulnerabilidad.

Encuesta valoración

Vulnerabilidad de denegación de servicio en TOYOPUC PLC de JTEKT Corporation

Fecha de publicación: 
30/06/2021
Importancia: 
3 - Media
Recursos afectados: 

Están afectados por esta vulnerabilidad las siguientes versiones de TOYOPUC PLC:

  • PC10G-CPU
  • 2PORT-EFR
  • Plus CPU
  • Plus EX
  • Plus EX2
  • Plus EFR
  • Plus EFR2
  • Plus 2P-EFR
  • PC10P-DP
  • PC10P-DP-IO
  • Plus BUS-EX
  • Nano 10GX
  • Nano 2ET
  • PC10PE
  • PC10PE-16/16P
  • PC10E
  • FL/ET-T-V2H
  • PC10B
  • PC10B-P
  • Nano CPU
  • PC10P
  • PC10GE
Descripción: 

El investigador, Chris Yang, a través de Trend Micro’s Zero Day Initiative, ha identificado una vulnerabilidad de denegación de servicio por una restricción inadecuada de los límites de un búfer de memoria, lo que podría bloquear el dispositivo afectado.

Solución: 

JTEKT ha publicado en su página web nuevas versiones de firmware de los PLC afectados que solucionan esta vulnerabilidad:

  • PC10G-CPU: versión 3.91 o posteriores;
  • 2PORT-EFR: versión 1.50 o posteriores;
  • PC10P-DP: versión 1.50 o posteriores;
  • PC10P-DP-IO: versión 1.50 o posteriores;
  • Nano 10GX: versión 3.00 o posteriores;
  • Nano 2ET: versión 2.40 o posteriores;
  • PC10PE: versión 1.02 o posteriores;
  • PC10PE-16 / 16P: versión 1.02 o posteriores;
  • PC10E: versión 1.12 o posteriores;
  • FL / ET-T-V2H: versión F2.8 E1.5 o posteriores;
  • PC10B: versión 1.11 o posteriores;
  • PC10B-P: versión 1.11 o posteriores;
  • Nano CPU: versión 2.08 o posteriores;
  • PC10P: versión 1.05 o posteriores;
  • PC10GE: versión 1.04 o posteriores;
  • Plus CPU: versión 3.11 o posteriores;
  • Plus EX: versión 3.11 o posteriores;
  • Plus EX2: versión 3.11 o posteriores;
  • Plus EFR: versión 3.11 o posteriores;
  • Plus EFR2: versión 3.11 o posteriores;
  • Plus 2P-EFR: versión 3.11 o posteriores;
  • Plus BUS-EX: versión 2.13 o posteriores.
Detalle: 

La vulnerabilidad descubierta se produce cuando los productos afectados reciben una trama no válida y se sobrescribe fuera de un búfer de recepción para FL-net. Debido a esto, la CPU del PLC detecta un error del sistema y los productos afectados se detienen. Se ha asignado para esta vulnerabilidad el identificador CVE-2021-27477.

Encuesta valoración

Vulnerabilidad en FPWIN Pro de Panasonic

Fecha de publicación: 
30/06/2021
Importancia: 
4 - Alta
Recursos afectados: 

FPWIN Pro programming control software, versión 7.5.1.1 y anteriores.

Descripción: 

Michael Heinzl ha reportado una vulnerabilidad al CISA que podría permitir a un atacante la divulgación de información.

Solución: 

Actualizar a FPWIN Pro v7.5.2.0.

Detalle: 

Un archivo de proyecto especialmente diseñado, que especifique una URI, podría hacer que el analizador XML acceda a esa URI e incruste el contenido, lo que podría permitir a un atacante revelar información accesible en el contexto del usuario que ejecuta el software. Se ha asignado el identificador CVE-2021-32972 para esta vulnerabilidad.

Encuesta valoración

[Actualización 30/06/2021] Múltiples vulnerabilidades en AutoBuild de AVEVA

Fecha de publicación: 
28/06/2021
Importancia: 
4 - Alta
Recursos afectados: 

AutoBuild, versiones desde la 2017 hasta la 2020 R2 P01 (inclusive) de AVEVA System Platform.

Descripción: 

Sharon Brizinov, de Claroty, ha reportado estas vulnerabilidades de severidad alta, que podrían permitir a un atacante ejecutar código arbitrario con privilegios del sistema o provocar una denegación de servicio.

Solución: 

Desactivar las versiones de la Plataforma del Sistema de 2017 a 2020 R2 P01 (inclusive) afectadas por las vulnerabilidades.

Actualizar a una de las versiones de la Plataforma del Sistema que se enumeran a continuación, y luego aplicar la actualización de seguridad correspondiente.

Detalle: 

El servicio AutoBuild está destinado a ser utilizado sólo en el Nodo GR de la Plataforma del Sistema durante la configuración. Debe desactivarse en todos los nodos de tiempo de ejecución mediante el applet de servicio de Windows. Además, si la funcionalidad AutoBuild no se utiliza en el Nodo GR, el servicio AutoBuild también puede desactivarse en el Nodo GR como una mitigación alternativa que no requiere parches.

Aquellos productos que necesiten utilizar continuamente la funcionalidad AutoBuild y no puedan desactivarla en las versiones de la Plataforma del Sistema de 2017 a 2020 R2 P01 (inclusive) se ven afectados por las vulnerabilidades y deben actualizar primero a una de las versiones de la Plataforma del Sistema que se enumeran a continuación, y luego aplicar la actualización de seguridad correspondiente.

[Actualización 30/06/2021]:

  • El software no realiza ninguna autenticación para las funciones que requieren una identidad de usuario demostrable. Se ha asignado el identificador CVE-2021-33008 para esta vulnerabilidad.
  • Se lanza una excepción desde una función que no se maneja adecuadamente, lo que podría permitir a un atacante la denegación de servicio. Se ha asignado el identificador CVE-2021-33010 para esta vulnerabilidad.

Encuesta valoración