Author: Industriales CSIRT-CV

Introducció

Vera Mens, de Claroty Research – Team82, ha reportat 3 vulnerabilitats de severitat crítica, l’explotació de la qual podria permetre a un atacant realitzar operacions d’edició, crear usuaris administradors, realitzar un restabliment de fàbrica, executar codi arbitrari o causar una condició de denegació de servici.^[1]

Anàlisi

Las vulnerabilidades críticas encontradas son las siguientes^[2]:

• • CVE-2024-12371 – Absència d’autenticació per a una funció crítica (CWE-306):
    Existix una vulnerabilitat d’apropiació de dispositius en Rockwell Automation Power Monitor 1000. Esta vulnerabilitat permet la configuració d’un nou usuari titular de la pòlissa sense cap autenticació a través de API. L’usuari titular de la pòlissa és l’usuari amb més privilegis que pot realitzar operacions d’edició, crear usuaris administradors i realitzar restabliments de fàbrica.
  • CVE-2024-12372 – Control incorrecte de generació de codi (Injecció de codi) (CWE-94):
    Existix una vulnerabilitat de denegació de servici i possible execució remota de codi en Rockwell Automation Power Monitor 1000. La vulnerabilitat provoca la corrupció de la memòria del munt, la qual cosa pot comprometre la integritat del sistema i permetre potencialment l’execució remota de codi o un atac de denegació de servici.
  • CVE-2024-12373 – Còpia de búfer sense comprovació de la grandària d’entrada (Desbordament de búfer clàssic) (CWE-94):
    Existix una vulnerabilitat de denegació de servici en Rockwell Automation Power Monitor 1000. La vulnerabilitat genera un desbordament de búfer, la qual cosa potencialment causa una denegació de servici.

La serie de productos afectados es:

• • PM1k 1408-BC3A-485: versions anteriors a la 4.020;
  • PM1k 1408-BC3A-ENT: versions anteriors a la 4.020;
  • PM1k 1408-TS3A-485: versions anteriors a la 4.020;
  • PM1k 1408-TS3A-ENT: versions anteriors a la 4.020;
  • PM1k 1408-EM3A-485: versions anteriors a la 4.020;
  • PM1k 1408-EM3A-ENT: versions anteriors a la 4.020;
  • PM1k 1408-TR1A-485: versions anteriors a la 4.020;
  • PM1k 1408-TR2A-485: versions anteriors a la 4.020;
  • PM1k 1408-EM1A-485: versions anteriors a la 4.020;
  • PM1k 1408-EM2A-485: versions anteriors a la 4.020;
  • PM1k 1408-TR1A-ENT: versions anteriors a la 4.020;
  • PM1k 1408-TR2A-ENT: versions anteriors a la 4.020;
  • PM1k 1408-EM1A-ENT: versions anteriors a la 4.020;

Recomanacions

Rockwell Automation ha corregit les vulnerabilitats reportades en la versió de firmware 4.020, i recomana als usuaris actualitzar a l’última versió disponible.

Referències

[1] ICSA-24-352-03: Rockwell Automation PowerMonitor 1000 Remote
[2] SD1714: PowerMonitor 1000 Remote Code Execution and denial-of-service Vulnerabilities via HTTP protocol

Introducció

Tomer Goldschmidt, de Claroty Research – Team82, ha informat sobre 3 vulnerabilitats en Planet WGS-804HPT: 2 d’elles de severitat crítica, que podrien provocar una execució remota de codi o un bloqueig del programa.^[1]

Anàlisi

Les vulnerabilitats crítiques trobades són les següents:

• • CVE-2024-48871 – Desbordament de búfer basat en pila (CWE-121):
    El producte afectat és vulnerable a un desbordament de búfer basat en la pila. Un atacant no autenticat podria enviar una sol·licitud HTTP maliciosa perquè el servidor web no comprove correctament la grandària d’entrada abans de copiar les dades a la pila, la qual cosa podria permetre l’execució remota de codi.
  • CVE-2024-52320 – Neutralització incorrecta d’elements especials usats en un comando de sistema operatiu (Injecció de comando de sistema operatiu) (CWE-78):
    El producte afectat és vulnerable a una injecció de comandos. Un atacant no autenticat podria enviar comandos a través d’una sol·licitud HTTP maliciosa que podria provocar l’execució remota de codi.

La sèrie de productes afectats és:

• • Planet WGS-804HPT: versió v1.305b210531

Recomanacions

Actualitzar a la versió 1.305b241111 o superior.

Referències

[1] CISA-24-340-02 – Planet Technology Planet WGS-804HPT

Introducció

DJ Cole, investigador de Cisco, va descobrir durant unes proves internes de seguretat una vulnerabilitat de severitat crítica que afecta la interfície web de gestió del programari Cisco Unified Industrial Wireless per a punts d’accés Cisco Ultra-Reliable Wireless Backhaul (URWB).^[1]

Anàlisi

Les vulnerabilitats crítiques trobades són les següents:

• • CVE-2024-20418 – Neutralització indeguda d’elements especials utilitzats en un comando (injecció de comandos) (CWE-77):
    Esta vulnerabilitat s’origina per una validació incorrecta de l’entrada a la interfície web de gestió d’URWB. Un atacant podria explotar esta vulnerabilitat enviant peticions HTTP malicioses a esta interfície, la qual cosa podria permetre l’execució de comandos arbitraris amb privilegis de root en el sistema operatiu subjacent del dispositiu afectat.

La sèrie de productes afectats és:

Les versions 17.15, 17.14 i anteriors de Cisco Unified Industrial Wireless Programari estan afectades per esta vulnerabilitat.
Esta vulnerabilitat afecta als següents productes Cisco si executen una versió vulnerable i tenen habilitat el mode operatiu URWB:

• • Punts d’accés d’alta resistència Catalyst IW9165D,
  • Punts d’accés i clients sense fils ruguerizados Catalyst IW9165E,
  • Punts d’accés d’alta resistència Catalyst IW9167E.

Recomanacions

Actualitzar Cisco Unified Industrial Wireless Programari a la versió 17.15.1.

Referències

[1] Cisco Unified Industrial Wireless Software for Ultra-Reliable Wireless Backhaul Access Point Command Injection Vulnerability

Introducció

Konstantin Lazarev, investigador de GreyNoise, ha publicat una anàlisi sobre 2 vulnerabilitats que afecten cambres PTZ del fabricant PTZOptics, les quals estan sent explotades activament. Estes van ser detectades amb la seua ferramenta de detecció d’amenaces basada en intel·ligència artificial Sift.^[1] L’explotació d’estes vulnerabilitats podria permetre a un atacant executar codi de manera remota o filtrar informació del servidor web.^[2]

Anàlisi

Les vulnerabilitats crítiques trobades són les següents:

• • CVE-2024-8956 – Autenticació Incorrecta   (CWE-287): Les cambres PTZOptics PT30X-SDI/NDI-xx anteriors al firmware 6.3.40 són vulnerables a un problema d’autenticació insuficient. La cambra no aplica correctament l’autenticació en /cgi-bin/param.cgi quan s’envien sol·licituds sense un encapçalat d’autorització HTTP. El resultat és que un atacant remot i no autenticat pot filtrar dades confidencials, com a noms d’usuari, hashes de contrasenyes i detalls de configuració. A més, l’atacant pot actualitzar valors de configuració individuals o sobreescriure tot l’arxiu.^[3]
  • CVE-2024-8957 – Neutralització incorrecta d’elements especials usats en un comando de sistema operatiu (Injecció de comando de sistema operatiu)  (CWE-78): PTZOptics PT30X-SDI/NDI-xx anterior al firmware 6.3.40 és vulnerable a un problema d’injecció de comandos del sistema operatiu. La cambra no valguda prou el valor de configuració ntp_addr, la qual cosa pot provocar l’execució de comandos arbitraris quan s’inicia ntp_client. Quan es combina amb CVE-2024-8956, un atacant remot i no autenticat pot executar comandos arbitraris del sistema operatiu en els dispositius afectats.^[4]

La sèrie de productes afectats és:

• • PTZOptics PT30X-SDI, versions anteriors a 6.3.40;
  • PTZOptics PT30X-NDI-xx-G2, versions anteriors a 6.3.40;
  • altres equips audiovisuals de marca blanca basats en el microprogramari de càmera PTZ de ValueHD Corporation, com a dispositius de Multicam Systems SAS o SMTAV Corporation

Recomanacions

PTZOptics va publicar actualitzacions de seguretat [5] al setembre, però alguns models, com PT20X-NDI-G2 i PT12X-NDI-G2, no van rebre estes actualitzacions de microprogramari per haver arribat al final de la seua vida útil (EoL). Posteriorment, GreyNoise va detectar 2 nous models, PT20X-SE-NDI-G3 i PT30X-SE-NDI-G3, també vulnerables i que tampoc van rebre actualització.

Referències

[1] GreyNoise Intelligence Discovers Zero-Day Vulnerabilities in Live Streaming Cameras with the Help of AI

[2] CVE-2024-8956, CVE-2024-8957: How to Steal a 0-Day RCE (With a Little Help from an LLM)

[3] PTZOptics NDI and SDI Cameras /cgi-bin/param.cgi Insufficient Authentication

[4] PTZOptics NDI and SDI Cameras Configuration Command Injection

[5] Latest Firmware Files