Publicado el

[SCI] Múltiples vulnerabilidades en VC4 Visualization de B&R Automation

Introducción

Se han identificado 3 vulnerabilidades, 2 de severidad crítica y 1 alta en VC4 Visualization.

Análisis

B&R VC4 es un paquete de software para generar interfaces hombre-máquina utilizando Automation Studio. Estas interfaces pueden utilizarse para controlar máquinas o mostrar información sobre las operaciones en curso. La visualización de B&R VC4 utiliza la tecnología VNC.

Las vulnerabilidades críticas se detallan a continuación:

CVE-2018-20748: Escritura fuera de límites (CWE-787)

VNC contiene múltiples vulnerabilidades de escritura fuera de límites en libvncclient/rfbproto.c.

CVE-2023-1617: Autenticación incorrecta (CWE-287)

El componente del servidor VNC posee un mecanismo de autenticación inadecuado, que podría permitir a un atacante, no autenticado, y con acceso a la red, eludir el mecanismo de autenticación en los dispositivos afectados.

Un mecanismo de autenticación inadecuado en el componente del servidor VNC utilizado por las versiones afectadas de las visualizaciones VC4 de B&R puede permitir a un atacante no autenticado eludir el mecanismo de autenticación de la visualización VC4 en los dispositivos.

Las versiones afectadas son:

    • 3.96.7 y anteriores.
    • 4.06.4 y anteriores.
    • 4.16.3 y anteriores.
    • 4.26.8 y anteriores.
    • 4.34.6 y anteriores.
    • 4.45.1 y anteriores.
    • 4.53.0 y anteriores.
    • 4.72.9 y anteriores.

Recomendaciones

Los problemas para cada versión del producto se han corregido en las siguientes:

    • <3.9 = producto descatalogado
    • 3.9 = 3.96.8
    • 4.0 = Por favor, actualice a la siguiente línea de versión fija
    • 4.1 = Por favor, actualice a la siguiente línea de versión fija
    • 4.2 = Por favor, actualice a la siguiente versión fija
    • 4.3 = 4.34.7
    • 4.4 = Por favor, actualice a la siguiente versión fija
    • 4.5 = Por favor, actualice a la siguiente versión fija
    • 4.7 = 4.73.0

Siga el principio de mínima funcionalidad:

    • No active el servidor VNC cuando no sea necesario para el funcionamiento del SIGC.
    • Limite la funcionalidad de su interfaz hombre-máquina al mínimo imprescindible.

Referencias

[1] Several Issues in B&R VC4 Visualization

Publicado el

Múltiples vulnerabilidades en productos de Apache

Se han detectado varias vulnerabilidades en productos de Apache. A continuación se analizan las altas y críticas, se enumeran los productos afectados, y se exponen soluciones y mitigaciones disponibles.

 
ANÁLISIS
 
Las vulnerabilidades detectadas han recibido los
siguientes identificadores:
 
– CVE-2023-27524 (CVSS 8.9):
En Apache Superset, versiones hasta la 2.0.1
inclusive, las instalaciones que no han alterado la SECRET_KEY
configurada por defecto según las instrucciones de instalación
permiten a un atacante autenticarse y acceder a recursos no
autorizados. Esto no afecta a los administradores de Superset
que hayan cambiado el valor por defecto de la configuración de
SECRET_KEY.
 

– CVE-2023-30771 (CVSS 9.8):
En Apache Software Foundation Apache IoTDB versión 0.13.3, el
componente iotdb-web-workbench se ve afectado por una
vulnerabilidad de autorización incorrecta. iotdb-web-workbench
es un componente opcional de IoTDB, que proporciona una
consola web de la base de datos.

– CVE-2022-47501 (CVSS 7.5):
Hay una vulnerabilidad de lectura arbitraria de archivos en
Apache Software Foundation Apache OFBiz cuando se utiliza el
plugin Solr. Esta vulnerabilidad es explotable por atacantes
no autorizados.

– CVE-2022-45064 (CVSS 9.0):
A nivel de Apache Sling, el SlingRequestDispatcher no
implementa correctamente la API RequestDispatcher, lo que
resulta en problemas de cross-site scripting basados en
include. La vulnerabilidad es explotable por un atacante capaz
de incluir un recurso con un tipo de contenido específico y de
controlar la ruta de inclusión (es decir, escribir contenido).
El impacto de un ataque exitoso es la escalada de privilegios
a poder administrativo.

 
RECURSOS AFECTADOS
 
– Apache Superset <= v2.0.1 (CVE-2023-27524)
– Apache Software Foundation Apache IoTDB v0.13.3
(CVE-2023-30771)
– Apache Software Foundation Apache OFBiz <
v18.12.07 (CVE-2022-47501)
– Apache Sling Engine < v2.14.0 (CVE-2022-45064)
 
RECOMENDACIONES
 
Aplique las actualizaciones de los productos o
tecnologías de que disponga:
 
– Apache Superset >= v2.1
– Apache Software Foundation Apache IoTDB >=
v0.13.4
– Apache Software Foundation Apache OFBiz >=
v18.12.07
– Apache Sling Engine >= v2.14.0
(tras la actualización, activar la opción «Check Content-Type
overrides» en la configuración)
 
Alternativamente, puede aplicar los siguientes
workarounds:
 
– En Apache Superset, bastará con cambiar el valor de
SECRET_KEY a una cadena generada de forma correctamente
aleatoria.
– Para Apache IoTDB, Apache OFBiz,y Apache Sling no se
ha publicado ningún workaround, aunque en el caso de OFBiz la
vulnerabilidad no afecta a implementaciones que no utilicen el
plugin Solr.
 
REFERENCIAS
 
Publicado el

[SCI] Múltiples vulnerabilidades en MicroSCADA SDM600 de Hitachi Energy

Introducción

El fabricante ha reportado 5 vulnerabilidades en su producto MicroSCADA SDM600, 1 de severidad crítica, 3 altas y 1 baja. La explotación exitosa de estas vulnerabilidades podría permitir a un atacante tomar el control remoto del producto.

Análisis

La vulnerabilidad crítica afecta a la validación de permisos de archivos de SDM600. Un atacante podría explotar esta vulnerabilidad obteniendo acceso al sistema y cargando un mensaje especialmente diseñado en el nodo del sistema, lo que podría dar lugar a la ejecución de código arbitrario.

CVE-2022-3682: Carga Sin Restricciones De Archivos De Tipo Peligroso (CWE-434)

En las versiones afectadas existe una vulnerabilidad en la validación de permisos de archivos. Un atacante podría explotar la vulnerabilidad ganando acceso al sistema y subir mensajes especialmente manipulados al nodo sistema, lo que podría resultar en ejecución de código arbitrario.

Los modelos afectados son:

    • MicroSCADA System Data Manager SDM600, versiones anteriores a:
      • 1.2 FP3 HF4 (Build Nr. 1.2.23000.291);
      • 1.3.0 (Build Nr. 1.3.0.1339).

Recomendaciones

    • 1.2 FP3 HF4 (Build Nr. 1.2.23000.291): actualizar a la versión 1.3.0.1339.
    • 1.3.0 (Build Nr. 1.3.0.1339): aplicar las medidas de mitigación listadas en el apartado 4 del aviso de CISA[1]

Referencias

[1] ICSA-23-096-05 – Hitachi Energy MicroSCADA System Data Manager SDM600

Publicado el

[SCI] Múltiples vulnerabilidades críticas en productos de mySCADA

Introducción

El investigador Michael Heinzl ha publicado en Internet 5 vulnerabilidades, todas ellas de severidad crítica.

Análisis

Todas las vulnerabilidades descubiertas son de tipo Inyección de comandos de Sistema Operativo (OS Command Injection CWE-78).[1]

El producto mySCADA myPRO tiene parámetros los cuales un usuario no autenticado podría explotar para inyectar comandos arbitrarios de Sistema Operativo.

Los CVEs asignados son: CVE-2023-28400, CVE-2023-28716, CVE-2023-28384, CVE-2023-29169 y CVE-2023-29150.

El producto afectado es:

    • myPRO: versiones 8.26.0 y anteriores.

Recomendaciones

mySCADA recomienda a los usuarios actualizar a la versión 8.29.0 o superior[2].

Para más información contactar directamente con el soporte técnico de mySCADA. La empresa también ha enviado avisos de seguridad por email a todos los usuarios registrados.

Referencias

[1] ICSA-23-096-06 – mySCADA myPRO
[2] Downloads – mySCADA Technologies