Home / Node / Boletín de INCIBE-CERT del 11-06-2021

Boletín de INCIBE-CERT del 11-06-2021

Múltiples vulnerabilidades en Defibrillator Dashboard de ZOLL

Publication date: 
06/11/2021
Importance: 
5 - Crítica
Affected resources: 

Defibrillator Dashboard, todas las versiones anteriores a la 2.2.

Description: 

Se han reportado, de forma anónima al CISA, 1 vulnerabilidad de severidad crítica, 3 altas y 2 medias, que podrían permitir a un atacante remoto ejecutar código arbitrario, realizar una escalada de privilegios o tener acceso a credenciales e información confidencial.

Solution: 

Actualizar a la versión 2.2 u otra posterior.

Detail: 
  • Una vulnerabilidad de carga de archivos potencialmente peligrosos sin restricciones en la aplicación web podría permitir a un usuario sin privilegios administrativos cargar un archivo malicioso, lo que podría permitir a un atacante ejecutar código de forma remota. Se ha asignado el identificador CVE-2021-27489 para esta vulnerabilidad de severidad crítica.

Para las vulnerabilidades de severidad alta se han asignado los identificadores: CVE-2021-27481, CVE-2021-27487 y CVE-2021-27485.

Para las vulnerabilidades de severidad media se han asignado los identificadores: CVE-2021-27479 y CVE-2021-27483.

Encuesta valoración

Omisión de políticas de seguridad en FactoryTalk Services Platform de Rockwell Automation

Publication date: 
06/11/2021
Importance: 
4 - Alta
Affected resources: 

FactoryTalk Services Platform, versión 6.11 y anteriores, si FactoryTalk Security está habilitado y desplegado.

Description: 

Rockwell Automation ha notificado una vulnerabilidad, de severidad alta, que podría permitir a usuarios remotos y autenticados eludir las políticas de FactoryTalk Security que se basan en un nombre de equipo.

Solution: 

Actualizar FactoryTalk Services Platform a la versión 6.20 o posteriores.

Detail: 

La vulnerabilidad identificada podría permitir a un atacante, remoto y autenticado, eludir las políticas de seguridad basadas en el nombre del equipo, lo que le daría acceso al mismo nivel de privilegios que si estuviera conectado a la máquina cliente. Se ha asignado el identificador CVE-2021-32960 para esta vulnerabilidad.

Encuesta valoración

Múltiples vulnerabilidades en Web Server Plugin de AGG Software

Publication date: 
06/11/2021
Importance: 
4 - Alta
Affected resources: 

 Web Server Plugin v4.0.40.1014 y anteriores (webserver.dll).

Description: 

Michael Heinzl ha reportado estas vulnerabilidades al CISA que podrían permitir la lectura de archivos arbitrarios del sistema o la ejecución remota de código.

Solution: 

Actualizar Web Server plugin a la versión  4.0.42 Build 512 o posterior.

Detail: 
  • Una neutralización incorrecta de la entrada, durante la generación de la página web, (cross-site scripting), podría permitir a un atacante la ejecución remota de código arbitrario. Se ha asignado el identificador CVE-2021-32962 para esta vulnerabilidad.
  • Una limitación incorrecta de nombre de ruta relativa a un directorio restringido (relative path traversal), podría permitir a un atacante leer archivos arbitrarios del sistema de ficheros. Se ha asignado el identificador CVE-2021-32964 para esta vulnerabilidad.

Encuesta valoración