Author: Industriales CSIRT-CV

Introducció

Ads-tec Industrial IT GmbH, en coordinació amb CERT@VDE, han reportat diverses vulnerabilitats, entre les quals es troba una de severitat crítica, quina de ser explotades, podrien produir una Denegació de servici (Dos) o la caiguda d’Eclipse Mosquitto. Encara que també existix la possibilitat d’execució de codi en remot (RCE) esta opció està mitigada si es té configurada la xarxa de manera segura i hi ha aïllament a nivell d’usuari. ^[1]

Anàlisi

La vulnerabilitat crítica trobada és la següent:

• • CVE-2024-10525 – Escriptura fora de límits (CWE-787) Desbordament de buffer basat en munt (CWE-122):

La vulnerabilitat de severitat crítica consistix en un desbordament de búfer basat en monticle. Es produïx en Eclipse Mosquitto des de la versió 1.3.2 fins a la 2.0.18. Si un agent maliciós envia un paquet SUBACK manipulat sense codis de motiu (reason), un client que usa libmosquitto pot accedir a memòria que estiga fora dels límits quan actua en la seua devolució d’anomenada on_subscribe. Això afecta als clients mosquitto_sub i mosquitto_rr.

Els següents firewalls ADS-TEC s’han vist afectats per esta vulnerabilitat:

• • IRF1000, versions anteriors a 2.1.0;
  • IRF2000, versions anteriors a 6.1.0;
  • IRF3000, versions anteriors a 2.1.0.

Recomanacions

• • Actualitzar els dispositius a la seua última versió disponible.

Referències

[1] CVE CERT – VDE-2025-033 – ads-tec Industrial IT: Mosquitto MQTT Client Vulnerability in ADS-TEC IRF Products

Introducció

Rex Weng, del Centre de Seguretat de Productes de Moxa, ha descobert una seria de vulnerabilitats en productes de Moxa, una d’elles de severitat crítica, que, de ser explotades, podrien permetre l’execució de comandos arbitraris del sistema i obtindre accés de root.^[1]

Anàlisi

La vulnerabilitat crítica trobada és la següent:

• • CVE-2025-0415 – Neutralització indeguda d’elements especials utilitzats en un comando del Sistema Operatiu (injecció de comandos del Sistema Operatiu) (CWE-78):

Un atacant remot amb privilegis d’administrador web podria explotar la interfície web del dispositiu i executar comandos arbitraris del sistema dins de les propietats NTP. Si s’explota amb èxit podria obtindre el control total del dispositiu.

Els recursos afectats són els següents:

• • EDF-G1002-BP Sèries, versió de firmware 3.14 i anteriors;
  • EDR-810 Sèries, versió de firmware 5.12.39 i anteriors;
  • EDR-8010 Sèries, versió de firmware 3.14 i anteriors;
  • EDR-G9004 Sèries, versió de firmware 3.14 i anteriors;
  • EDR-G9010 Sèries, versió de firmware 3.14 i anteriors;
  • OnCell G4302-LTE4 Sèries, versió de firmware 3.14 i anteriors;
  • TN-4900 Sèries, versió de firmware 3.14 i anteriors.
  • NAT-102 Sèries, versió de firmware 3.15 i anterior.

Recomanacions

Actualitzar el firmware dels següents productes:

• • EDF-G1002-BP Series^[2] , versió 3.17 o posterior;
  • EDR-810 Series^[3] , versió 5.12.41 o posterior;
  • EDR-8010 Series^[4] , versió 3.17 o posterior.
  • NAT-102 Series, versió 3.17 o posterior.

Per als productes del següent llistat, contactar amb el servici tècnic de Moxa:

• • EDR-G9004 Series;
  • EDR-G9010 Series;
  • OnCell G4302-LTE4 Series;
  • TN-4900 Series.

Referències

[1] Moxa MPSA-259491 – CVE-2025-0415: Command Injection Leading to Denial-of-Service in Secure Routers, Cellular Routers, and Network Security Appliances
[2] EDF-G1002-BP Series, versión 3.17
[3] EDR-810 Series, versión 5.12.41
[4] EDR-8010 Series, versión 3.17

Introducció

Diversos investigadors han reportat un total de 31 vulnerabilitats que afecten diversos productes ABB sent 16 d’elles de severitat crítica.^[1] L’explotació d’estes vulnerabilitats podria permetre a un atacant interrompre les operacions o executar codi remot.^[2]

Anàlisi

Les vulnerabilitats crítiques trobades són les següents:

• • CVE-2024-6209 – Accés extern a arxius i directoris (CWE-552):

Accés no autoritzat a arxius en WEB Server permet a un atacant accedir a arxius no autoritzats.

• • CVE-2024-6298 – Incorrecta validació d’entrada de tipus específica (CWE-1287):

Vulnerabilitat de validació d’entrada incorrecta en ABB ASPECT-Enterprise en Linux, ABB NEXUS Sèries en Linux, ABB MATRIX Sèries en Linux permet la inclusió remota de codi.

• • CVE-2024-6515 – Transmissió d’informació sensible en text clar (CWE-319):

La interfície del navegador web pot manipular el nom d’usuari i la contrasenya de l’aplicació en text simple o codificació Base64, la qual cosa augmenta la probabilitat d’exposició no desitjada de credencials.

• • CVE-2024-6516 – Neutralització incorrecta de l’entrada durant la generació de la pàgina web (Cross-site Scripting) (CWE-79):

Es van trobar vulnerabilitats de cross site scripting que permetien la injecció de scripts malicioses en el navegador d’un client.

• • CVE-2024-6784 – Falsificació de sol·licitud en servidor (SSRF) (CWE-918):

Es van trobar vulnerabilitats de Server-Side Request Forgery que brinden la possibilitat d’accedir a recursos no autoritzats i divulgar informació no desitjada.

• • CVE-2024-48845 – Requeriments febles per a la creació de contrasenyes (CWE-521):

Es van trobar vulnerabilitats en les regles de restabliment de contrasenyes febles que brinden la possibilitat d’emmagatzemar contrasenyes febles que podrien facilitar l’accés no autoritzat a aplicacions o administradors.

• • CVE-2024-48839 – Control incorrecte de generació de codi (CWE-94):

La vulnerabilitat de validació d’entrada incorrecta permet l’execució remota de codi.

• • CVE-2024-48840 – Control incorrecte de generació de codi (CWE-94):

Les vulnerabilitats d’accés no autoritzat permeten l’execució remota de codi.

• • CVE-2024-51545 – Credencials insuficientment protegides (CWE-522):

Les vulnerabilitats d’enumeració de noms d’usuari permeten l’accés a funcions d’addició, eliminació, modificació i llista de noms d’usuari a nivell d’aplicació.

• • CVE-2024-51548 – Pujada sense restriccions de fitxers de tipus perillosos (CWE-434):

Les vulnerabilitats de càrrega d’arxius perillosos permeten la càrrega de scripts maliciosos.

• • CVE-2024-51549 – Salt de directori absolut (CWE-434):

Les vulnerabilitats de Absolute File Traversal permeten l’accés i la modificació de recursos no desitjats.

• • CVE-2024-51550 – Incorrecta validació d’entrada de tipus específica (CWE-1287):

Les vulnerabilitats de validació i desinfecció de dades en Linux permeten que s’injecten dades no validades ni desinfectats en un dispositiu Aspect.

• • CVE-2024-51551 – Ús de credencials per defecte (CWE-1392):

Les vulnerabilitats de credencials predeterminades en *ASPECT en Linux permeten l’accés al producte mitjançant credencials predeterminades disponibles públicament.

• • CVE-2024-51554 – Off by One Error (CWE-193):

Una vulnerabilitat de tipus Off by One Error permet que es done una condició de fora de rang d’un array en un script de log.

• • CVE-2024-51555 – Ús de contrasenyes per defecte (CWE-1393):

Les vulnerabilitats de credencials predeterminades permeten l’accés a un dispositiu Aspect utilitzant credencials predeterminades disponibles públicament, ja que el sistema no requerix que l’instal·lador canvie les credencials predeterminades.

• • CVE-2024-11317 – Fixació de sessió (CWE-384):

Les vulnerabilitats de fixació de sessió permeten a un atacant fixar l’identificador de sessió d’un usuari abans d’iniciar sessió, la qual cosa brinda l’oportunitat de prendre el control de la sessió en un producte.

Els següents productes estan afectats:

• • ABB NEXUS Series: NEXUS-3-x;
  • ABB NEXUS Series: NEX-2x;
  • ABB ASPECT-Enterprise: ASP-ENT-x;
  • ABB MATRIX Series: MAT-x;
  • ABB ASPECT-Enterprise: ASP-ENT-x;
  • Tota la sèrie de productes AC500 V3 (PM5xxx).

La relació de versions afectades pot consultar-se en les referències.

Recomanacions

ABB ha llançat solucions i mitigacions específiques que els usuaris poden aplicar per a reduir el risc de les vulnerabilitats. ABB recomana als seus clients que apliquen les diferents actualitzacions al més prompte possible.

Per a més informació sobre les versions correctors, consultar els avisos inclosos en les referències.

Referencias

[1] ICSA-24-352-03: Rockwell Automation PowerMonitor 1000 Remote

[2] SD1714: PowerMonitor 1000 Remote Code Execution and denial-of-service Vulnerabilities via HTTP protocol

Introducció

L’investigador, Lars Haulin, ha reportat 2 vulnerabilitats que afecten múltiples dispositius Moxa com poden ser encaminadors i de seguretat de xarxa, sent una d’elles de severitat crítica. L’explotació d’esta vulnerabilitats podria permetre a un atacant injectar comandos del sistema operatiu.^[1]

Anàlisi

La vulnerabilitat crítica trobada és la següent:

• • CVE-2024-9140 – Neutralització incorrecta d’elements especials usats en un comando de sistema operatiu (Injecció de comando de sistema operatiu) (CWE-78): Esta vulnerabilitat permet la injecció de comandos del sistema operatiu a causa de comandos restringits incorrectament, la qual cosa potencialment permet als atacants executar codi arbitrari. Això representa un risc significatiu per a la seguretat i la funcionalitat del sistema.

Les següents versions de firmware i anteriors es veuen afectades, per a cada conjunt de productes:

• • 1.0.5:
    • NAT-102.
  • 3.13.1:
    • EDR-8010;
    • EDR-G9004;
    • EDR-G9010;
    • EDF-G1002-BP.
  • 3.13:
    • OnCell G4302-LTE4;
    • TN-4900.

Recomanacions

• Actualitzar el firmware a les versions 3.14 o posteriors per als productes:
• • EDR-8010;
  • EDR-G9004;
  • EDR-G9010;
  • EDF-G1002-BP.
• No es disposa de pegat de firmware oficial per al producte NAT-102, es recomana consultar la secció de mitigacions de la pàgina web inclosa en referències.
• Contactar amb el suport tècnic de Moxa per a obtindre el pegat de seguretat en els productes:
  • OnCell G4302-LTE4;
  • TN-4900.

Referències

[1] Privilege Escalation and OS Command Injection Vulnerabilities in Cellular Routers, Secure Routers, and Network Security Appliances