Home / Node / Boletín de INCIBE-CERT del 01-07-2020

Boletín de INCIBE-CERT del 01-07-2020

Múltiples vulnerabilidades en varios productos de Mitsubishi Electric

Publication date: 
07/01/2020
Importance: 
4 - Alta
Affected resources: 

Las siguientes versiones de los productos de software de ingeniería de Factory Automation se ven afectadas:

  • CPU Module Logging Configuration Tool, versiones 1.94Y y anteriores;
  • CW Configurator, versiones 1.010L y anteriores;
  • EM Software Development Kit (EM Configurator), versiones 1.010L y anteriores;
  • GT Designer3(GOT2000), versiones 1.221F y anteriores;
  • GX LogViewer, versiones 1.96A y anteriores;
  • GX Works2, versiones 1.586L y anteriores;
  • GX Works3, versiones 1.058L y anteriores;
  • M_CommDTM-HART, versión 1.00A;
  • M_CommDTM-IO-Link, versiones 1.02C y anteriores;
  • MELFA-Works, versiones 4.3 y anteriores;
  • MELSEC-L Flexible High-Speed I/O Control Module Configuration Tool, versiones 1.004E y anteriores;
  • MELSOFT FieldDeviceConfigurator, versiones 1.03D y anteriores;
  • MELSOFT iQ AppPortal, versiones 1.11M y anteriores;
  • MELSOFT Navigator, versiones 2.58L y anteriores;
  • MI Configurator, versiones 1.003D y anteriores;
  • Motion Control Setting, versiones 1.005F y anteriores;
  • MR Configurator2, versiones 1.72A y anteriores;
  • MT Works2, versiones 1.156N y anteriores;
  • RT ToolBox2, versiones 3.72A y anteriores;
  • RT ToolBox3, versiones 1.50C y anteriores.
Description: 

Mitsubishi Electric PSIRT (Product Security Incident Response Team) reportó a CISA 2 vulnerabilidades, una de criticidad alta y otra media, de tipo restricción incorrecta de referencia a entidad externa XML (XXE) y consumo de recursos incontrolado, que afectan a varios productos de Factory Automation.

Solution: 

Mitsubishi Electric recomienda que los usuarios afectados descarguen la última versión de cada producto de software del centro de descargas de Mitsubishi Electric y lo actualicen.

Detail: 
  • La vulnerabilidad podría permitir que un atacante malintencionado envíe un archivo al exterior en el equipo que ejecuta el producto afectado. Se ha asignado el identificador CVE-2020-5602 para esta vulnerabilidad.
  • La vulnerabilidad podría permitir que un atacante malintencionado genere una condición de denegación de servicio (DoS) en el producto afectado. Se ha asignado el identificador CVE-2020-5603 para esta vulnerabilidad.

Encuesta valoración

[Actualización 31/03/2021] Múltiples vulnerabilidades en Automation Worx Software Suite de Phoenix Contact

Publication date: 
07/01/2020
Importance: 
4 - Alta
Affected resources: 

Los componentes de Automation Worx Software Suite con versión 1.87 y anteriores:

  • PC Worx,
  • PC Worx Express.
Description: 

Investigadores independientes trabajando, a través de Trend Micro Zero Day Initiative, han reportado varias vulnerabilidades en componentes de Worx Software Suite, que podrían permitir a un atacante comprometer la estación de trabajo donde se utilicen esos componentes a través de una ejecución remota de código.

Solution: 

Esta vulnerabilidad se corregirá en la próxima versión de Automation Worx Software Suite.

Se recomienda no intercambiar archivos de proyectos para PC Worx de manera insegura o sin haber comprobado antes el cálculo de un hash de verificación de los ficheros para asegurar su integridad.

[Actualización 31/03/2021]: Actualizar a Automation Worx Software Suite (V1.88).

Detail: 

Las vulnerabilidades encontradas podrían permitir, mediante el uso de proyectos para PC Worx manipulados, realizar una ejecución remota de código debido a una insuficiente validación de entrada al procesar archivos *.mwe, provocando un desbordamiento de búfer basado en stack y lectura fuera de límites.

Un atacante necesitaría tener acceso a un proyecto original de PC Worx y manipular los datos dentro de la carpeta de proyectos, sustituyendo el manipulado por el original en la estación de trabajo.

Se han reservado los identificadores CVE-2020-12497 y CVE-2020-12498 para estas vulnerabilidades.

Encuesta valoración

Múltiples vulnerabilidades en Delta Industrial Automation DOPSoft de Delta Electronics

Publication date: 
07/01/2020
Importance: 
4 - Alta
Affected resources: 

DOPSoft, versiones 4.00.08.15 y anteriores.

Description: 

La explotación exitosa de las 2 vulnerabilidades publicadas, de severidades alta y media, podría permitir a un atacante leer/modificar la información, ejecutar código arbitrario y/o bloquear la aplicación.

Solution: 

[Actualización 29/07/2020] Actualizar a la última versión  DOPSoft v4.00.08.21.

Detail: 
  • Múltiples vulnerabilidades de lectura fuera de límites podrían permitir a un atacante leer información y/o bloquear la aplicación mediante el procesamiento de archivos de proyecto especialmente diseñados. Se ha asignado el identificador CVE-2020-10597 para esta vulnerabilidad.
  • La apertura de un archivo de proyecto especialmente diseñado puede desbordar la pila (heap), lo que podría permitir a un atacante la ejecución remota de código, la divulgación/modificación de información o hacer que la aplicación se bloquee. Se ha asignado el identificador CVE-2020-14482 para esta vulnerabilidad.

Encuesta valoración