Autor: Industriales CSIRT-CV

Introducción

ICS Advisory ^[1]  ha anunciado 6 vulnerabilidades, 2 de severidad crítica y 4 de severidad alta que podrían permitir a un atacante ejecutar remotamente código o enviar comandos maliciosos en dispositivos de Delta Electronics.^[2]

 

Análisis

CVE-2022-42139: El servidor web del dispositivo afectado es vulnerable a la inyección de comandos autenticados a través de parámetros POST. Un actor malicioso podría obtener acceso completo al sistema operativo (SO) subyacente del dispositivo. Si el dispositivo actúa como un dispositivo clave en una red industrial, o controla varios equipos críticos a través de puertos serie, el atacante podría causar un gran daño en la red correspondiente. Se ha calculado una puntuación CVSS v3 de 9,9.

CVE-2023-0432: Esta vulnerabilidad, de severidad crítica podrían permitir que un actor de amenazas con privilegios bajos obtenga acceso de root al dispositivo, lo que podría permitirle enviar comandos maliciosos a los dispositivos administrados o también la ejecución remota de código sin necesidad de estar autenticado. Se ha asignado una puntuación base CVSS v3 de 9,0.

 

Recomendaciones

Delta Electronics corrigió estas vulnerabilidades y recomienda que todos los usuarios actualicen el firmware de los dispositivos afectados a las siguientes versiones o posteriores.

• • versión 1.3.0 de DIAScreen (se requiere inicio de sesión).
  • versión 2.5.2 de DVW-W02W2-E2.
  • versión 1.5.0.12 DX-2100-L1-CN.

 

Referencias

[1] ICS Advisory (ICSA-23-033-04)
[2] ICS Advisory (ICSA-23-033-05)

Introducción

En el aviso ICS Advisory (ICSA-23-017-01) ^[1] se anuncian cinco vulnerabilidades que afectan a un producto de GE Digital, reportadas por el investigador de Claroty Research, Uri Katz.

Análisis

La única vulnerabilidad de severidad crítica de este aviso es:

CVE-2022-46732: Omisión de autenticación mediante una vulnerabilidad de canal o ruta alternativa (CWE-288).
Incluso si la autenticación falla para la autenticación del servicio local, el comando solicitado aún podría ejecutarse independientemente del estado de autenticación.

La explotación exitosa de estas vulnerabilidades podría bloquear el dispositivo después del acceso, provocar una condición de desbordamiento del búfer y permitir la ejecución remota de código.

El producto afectado es:

• • Proficy Historian v7.0 y versiones superiores

Recomendaciones

• • GE Digital publicó la nueva versión Proficy Historian 2023 ^[2] para mitigar estas vulnerabilidades.
  • Los usuarios de este producto pueden encontrar más información sobre estas vulnerabilidades y cómo descargar e instalar las actualizaciones en la notificación de GE Digital indicada en las referencias ^[3].

Referencias

[1] ICS Advisory (ICSA-23-017-01)
[2] Proficy Historian 2023
[3] Notification document from GE Digital

Introducción

Andrea Palanca, de Nozomi Networks^[1], ha reportado 9 vulnerabilidades que afectan a RTLS Studio^[2], 4 de severidad crítica, 2 altas y 3 medias. La explotación exitosa de estas vulnerabilidades podría permitir a un atacante obtener acceso no autorizado al servidor, alterar información, crear una condición de denegación de servicio (DoS), escalar privilegios y ejecutar código arbitrario.

 

Análisis

Las vulnerabilidades críticas se describen a continuación:

CVE-2023-45444: Contraseñas en texto claro para usuarios seleccionados en la base de datos de la aplicación, lo que podría permitir a un atacante remoto iniciar sesión en la base de datos sin restricciones.

CVE-2023-47911: Validación incorrecta del nombre del módulo de entrada para los servicios de respaldo del software. Esto podría permitir que un atacante remoto acceda a funciones confidenciales de la aplicación y ejecute comandos arbitrarios del sistema.

CVE-2023-43483: El nombre del módulo de entrada para los servicios de monitorización del software no se valida adecuadamente, lo que podría permitir que un atacante remoto accediese a funciones confidenciales de la aplicación y ejecutase comandos arbitrarios del sistema.

CVE-2023-41989: La longitud de las cargas de sus informes no se comprueban durante la comunicación. Esta situación podría permitir que un atacante envíe un payload excesivamente largo, resultando en una escritura fuera de límites para provocar una condición de denegación de servicio o ejecutar código.

 

Recomendaciones

Actualizar RTLS Studio a las versiones 3.0.0 o posteriores y para CVE-2022-45444, cambiar manualmente la contraseña de la base de datos.

 

Referencias

[1] Nozomi Networks
[2] ICS Advisory (ICSA-23-012-01) Sewio RTLS Studio