Home / Node / Boletín de INCIBE-CERT del 13-05-2020

Boletín de INCIBE-CERT del 13-05-2020

Múltiples vulnerabilidades en OSIsoft PI System

Publication date: 
05/13/2020
Importance: 
4 - Alta
Affected resources: 
  • Aplicaciones usando PI Asset Framework (AF) Client, versiones anteriores e incluyendo PI AF Client 2018 SP3 Patch 1, versión 2.10.7.283;
  • Aplicaciones usando PI Software Development Kit (SDK), versiones anteriores e incluyendo PI SDK 2018 SP1, versión 1.4.7.602;
  • PI API para Windows Integrated Security, versiones anteriores e incluyendo 2.0.2.5;
  • PI API, versiones anteriores e incluyendo 1.6.8.26;
  • PI Buffer Subsystem, versiones anteriores e incluyendo 4.8.0.18;
  • PI Connector para BACnet, versiones anteriores e incluyendo 1.2.0.6;
  • PI Connector para CygNet, versiones anteriores e incluyendo 1.4.0.17;
  • PI Connector para DC Systems RTscada, versiones anteriores e incluyendo 1.2.0.42;
  • PI Connector para Ethernet/IP, versiones anteriores e incluyendo 1.1.0.10;
  • PI Connector para HART-IP, versiones anteriores e incluyendo 1.3.0.1;
  • PI Connector para Ping, versiones anteriores e incluyendo 1.0.0.54;
  • PI Connector para Wonderware Historian, versiones anteriores e incluyendo 1.5.0.88;
  • PI Connector Relay, versiones anteriores e incluyendo 2.5.19.0;
  • PI Data Archive, versiones anteriores e incluyendo PI Data Archive 2018 SP3, versión 3.4.430.460;
  • PI Data Collection Manager, versiones anteriores e incluyendo 2.5.19.0;
  • PI Integrator para Business Analytics, versiones anteriores e incluyendo 2018 R2 SP1, versión 2.2.0.183;
  • PI Interface Configuration Utility (ICU), versiones anteriores e incluyendo 1.5.0.7;
  • PI a OCS, versiones anteriores e incluyendo 1.1.36.0;
  • PI Vision, versión 2019 y anteriores;
  • PI Manual Logger, versión 2017 R2 Patch 1 y anteriores;
  • RtReports, versión 4.1 y anteriores.
Description: 

William Knowles, consultor senior de seguridad en Applied Risk, trabajando conjuntamente con OSIsoft, ha reportado 10 vulnerabilidades al CISA, 5 de severidad alta y 5 medias. Los tipos de vulnerabilidades detectadas son elemento de ruta de búsqueda no controlada, verificación incorrecta de firma criptográfica, permisos predeterminados incorrectos, excepción no capturada, desreferencia de puntero nulo, validación de entrada incorrecta, XSS e inserción de información confidencial en el archivo de registro.

Solution: 

Consultar el punto 4 de mitigaciones del aviso de CISA para obtener las medidas concretas de seguridad para cada vulnerabilidad.

Detail: 
  • Un atacante local puede modificar una ruta de búsqueda y utilizar un binario para tomar el control del equipo local en el nivel de privilegio del sistema de Windows, lo que resultaría en la divulgación, eliminación o modificación de información no autorizada. Se ha reservado el identificador CVE-2020-10610 para esta vulnerabilidad.
  • Un atacante local puede utilizar un binario y omitir una verificación de integridad del código para cargar las bibliotecas de PI System y, de esta manera, divulgar, eliminar o modificar información no autorizada. Se ha reservado el identificador CVE-2020-10608 para esta vulnerabilidad.
  • Un atacante local puede explotar los permisos incorrectos establecidos por el producto afectado. Esta vulnerabilidad podría permitir la divulgación, eliminación o modificación de información no autorizada si el equipo local también procesa datos de PI System de otros usuarios. Se ha reservado el identificador CVE-2020-10606 para esta vulnerabilidad.
  • Un atacante remoto, no autenticado, podría bloquear el servicio de PI Network Manager a través de solicitudes especialmente diseñadas, lo que podría provocar el bloqueo de conexiones y consultas a PI Data Archive. Se ha reservado el identificador CVE-2020-10604 para esta vulnerabilidad.
  • Un atacante remoto autenticado podría bloquear PI Network Manager debido a una condición de carrera. Esto podría provocar el bloqueo de conexiones y consultas a PI Data Archive. Se ha reservado el identificador CVE-2020-10602 para esta vulnerabilidad.
  • Un atacante remoto, autenticado, podría bloquear PI Archive Subsystem cuando el subsistema funciona bajo presión de memoria. Esta situación podría generar un bloqueo de consultas a PI Data Archive. Se ha reservado el identificador CVE-2020-10600 para esta vulnerabilidad.
  • Un atacante remoto, autenticado, podría agregar o modificar las propiedades internas del objeto, lo que daría como resultado un comportamiento indefinido. Se han asignado los identificadores CVE-2019-10768 y CVE-2019-11358 para esta vulnerabilidad.
  • Un atacante remoto, autenticado, podría usar URL, especialmente diseñadas, para enviar a un usuario que utilice PI Vision móvil a una página web vulnerable, debido a un problema en un componente de terceros. Se ha reservado el identificador CVE-2020-10600 para esta vulnerabilidad.
  • Un atacante remoto, autenticado, con acceso de escritura a las bases de datos de PI Vision, podría inyectar código en una pantalla, posibilitando la divulgación, eliminación o modificación de información no autorizada si un usuario utiliza la pantalla infectada. Se ha reservado el identificador CVE-2020-10614 para esta vulnerabilidad.
  • Un atacante local podría consultar información confidencial en archivos de registro cuando las cuentas de servicio se personalizan durante la instalación o actualización de PI Vision. Se ha asignado el identificador CVE-2019-18244 para esta vulnerabilidad.

Encuesta valoración

Boletín de seguridad de Siemens de mayo de 2020

Publication date: 
05/13/2020
Importance: 
5 - Crítica
Affected resources: 
  • Siemens Power Meters Series 9410, todas las versiones anteriores a la V2.2.1;
  • Siemens Power Meters Series 9810, todas las versiones.
Description: 

Siemens ha publicado en su comunicado mensual varias actualizaciones de seguridad de diferentes productos.

Solution: 

Las actualizaciones que corrigen las vulnerabilidades indicadas pueden obtenerse desde el panel de descarga de Siemens. Para los productos sin actualizaciones disponibles hay que aplicar las medidas de mitigación descritas en la sección de Referencias.

Detail: 

Siemens, en su comunicación mensual de parches de seguridad, ha emitido un total de 7 avisos de seguridad, de las cuales 6 son actualizaciones.

El tipo de nuevas vulnerabilidades publicadas se corresponde a los siguientes:

  • 1 vulnerabilidad de control de acceso inadecuado,
  • 2 vulnerabilidades de desbordamiento de enteros,
  • 1 vulnerabilidad de desbordamiento de búfer basado en pila,
  • 3 vulnerabilidades de condición de carrera,
  • 1 vulnerabilidad de gestión inadecuada del estado del sistema,
  • 2 vulnerabilidades de errores en la lógica de negocio.

Para estas vulnerabilidades se han reservado los siguientes identificadores: CVE-2019-10938, CVE-2019-12255, CVE-2019-12256, CVE-2019-12258, CVE-2019-12259, CVE-2019-12260, CVE-2019-12261, CVE-2019-12262, CVE-2019-12263 y CVE-2019-12265.

Encuesta valoración

Múltiples vulnerabilidades en productos de Schneider Electric

Publication date: 
05/13/2020
Importance: 
4 - Alta
Affected resources: 
  • GP-Pro EX, versiones desde la versión 1.00, hasta la versión 4.09.100;
  • Vijeo Designer Basic, versión 1.1 HotFix 16 y anteriores;
  • Vijeo Designer, versión 6.2 SP9 y anteriores;
  • MTN6501-0001 – U.Motion – KNX Server;
  • MTN6501-0002 – U.Motion – KNX Server Plus;
  • MTN6260-0410 – U.Motion KNX server Plus, Touch 10;
  • MTN6260-0415 – U.Motion KNX server Plus, Touch 15;
  • MTN6260-0310 – U.Motion KNX Client Touch 10;
  • MTN6260-0315 – U.Motion KNX Client Touch 15.
  • [Actualización: 14/05/2020] EcoStruxure Operator Terminal Expert 3.1 Service Pack 1 y anteriores. (Producto conocido anteriormente como Vijeo XD).
Description: 

Varios investigadores de seguridad han reportado a Schneider Electric 9 vulnerabilidades, 3 de criticidad alta, 4 de criticidad media y 2 de criticidad baja. Estas vulnerabilidades son del tipo requisitos de contraseñas débiles, credenciales embebidas, control de acceso inadecuado, acceso a rutas no controlado e inyección SQL.

Solution: 
  • Actualizar GP-Pro EX a la versión 4.09.120;
  • Actualizar Vijeo Designer Basic a la versión 1.1 HotFix 17. Para obtener la actualización es necesario ponerse en contacto con el servicio de soporte de Schneider Electric;
  • Vijeo Designer recibirá la actualización en el próximo service pack;
  • Actualizar los dispositivos U.Motion Servers y Touch panels a la versión 1.4.2, consultar la sección de Referencias para obtener la actualización específica para cada dispositivo.
  • [Actualización: 14/05/2020] EcoStruxure Operator Terminal Expert 3.1 con el Service Pack 1A.
Detail: 
  • La vulnerabilidad de criticidad alta afecta a los dispositivos Vijeo Designer y Designer Basic. Un atacante remoto podría utilizar credenciales embebidas para realizar modificaciones en el proyecto o firmware. Se ha reservado el identificador CVE-2020-7501 para esta vulnerabilidad.
  • [Actualización: 14/05/2020] Una vulnerabilidad de criticidad alta en EcoStructure Operator Terminal Expert, podría permitir a un atacante local, al abrir un archivo de proyecto, realizar ejecución de código arbitrario mediante una inyección SQL. Se ha reservado el identificador CVE-2020-7493 para esta vulnerabilidad.
  • [Actualización: 14/05/2020] ] Una vulnerabilidad de criticidad alta en EcoStructure Operator Terminal Expert, podría permitir a un atacante local, al abrir un archivo de proyecto, el acceso no controlado a rutas, pudiendo ocasionar una ejecución de código arbitrario. Se ha reservado el identificador CVE-2020-7494 para esta vulnerabilidad.
  • A las vulnerabilidades de criticidad media y baja se les han reservado los identificadores CVE-2020-7492, CVE-2020-7495, CVE-2020-7496, CVE-2020-7497, CVE-2020-7499 y CVE-2020-7500.

Encuesta valoración