Category: Actualitat

Introducció

Francesco Benvenuto de Cisco Talos^[1] ha descobert recentment nou vulnerabilitats al router industrial Robustel R1510, diverses de les quals podrien permetre que un adversari injecti codi al sistema operatiu de forma remota.

 

Anàlisi

Les vulnerabilitats crítiques s’han registrat amb els identificadors següents:

CVE-2022-33325, CVE-2022-33329, CVE-2022-33312 i CVE-2022-33314: Un atacant podria injectar ordres al sistema operatiu del router en enviar una sol·licitud de xarxa especialment dissenyada.

CVE-2022-34845, CVE-2022-32585 i CVE-2022-34850: Un usuari podria executar codi arbitrari iniciant sessió com a administrador.

CVE-2022-35261 i CVE-2022-35271: Un atacant podria enviar una sol·licitud de xarxa especialment dissenyada per realitzar, una denegació de servei a la funcionalitat hashFirst del servidor web del dispositiu, podent bloquejar-lo.

CVE-2022-28127 i CVE-2022-33897: Un atacant podria eliminar fitxers arbitraris al servidor web del dispositiu, encara que s’hagi implementat una verificació de ruta transversal.

 

Recomenacions

Referències

[1] Cisco Talos Intelligence Group

[2] https://snort.org/

Introducció

S’ha conegut una vulnerabilitat crítica al framework Java Spring que permet prendre remotament el control d’aplicacions. Aquesta vulnerabilitat web, que recorda Log4Shell, afecta la família de productes siPass y Siveillance Identity de Siemens^[1], Bosch MATRIX del fabricant Bosch^[2] i Lumada Asset Performance Manager del fabricant Hitachi Energy^[3].

 

Anàlisi

Spring4Shell o SpringShell han estat els noms donats a la vulnerabilitat i que permet arribar a executar codi remotament mitjançant una seqüència de peticions HTTP específiques.

La vulnerabilitat té una criticitat molt elevada, podent comprometre la confidencialitat, integritat i disponibilitat de les dades. Se li ha assignat l’identificador CVE-2022-22965, afecta les aplicacions Spring MVC i Spring WebFlux que s’executen a JDK 9+. L’exploit requereix que l’aplicació s’executi a Tomcat com a desplegament WAR. Si l’aplicació es desplega com a JAR executable de Spring Boot (configuració per defecte) no és vulnerable.

L’explotació d’aquesta vulnerabilitat requereix un endpoint amb DataBinder habilitat i depèn en gran mesura del contenidor de servlets de l’aplicació.

 

Recomanacions

Referències

[1] Spring Framework Vulnerability (CVE-2022-22965) – Impact to Siemens Products

[2] Improper Control of Generation of Code in Bosch MATRIX

[3] Hitachi CYBERSECURITY ADVISORY

ICS Advisory (ICSA-22-286-01)

Introducció

El fabricant de components electrònics Phoenix Contact^[1] en coordinació amb el CERT@VDE^[2]  ha publicat un avís amb múltiples vulnerabilitats que afecten components Linux al firmware emprat als controladors PLCnext.

 

Anàlisi

S’han trobat un total de 83 vulnerabilitats d’importància crítica, alta i mitjana que comprometrien la integritat, la confidencialitat i la disponibilitat de la família de controladors PLCNext. Les vulnerabilitats més importants són les següents, les quals estan classificades com a crítiques:

CVE-2022-32207: En desar dades de cookies en fitxers locals es realitza un canvi de nom del fitxer de temporal a definitiu. En aquesta operació de canvi de nom, es podrien ampliar els permisos per al fitxer, deixant-lo accessible a més usuaris dels previstos.

CVE-2022-2207: Vulnerabilitat de desbordament de memòria intermèdia basada en pila.

CVE-2022-1927: Vulnerabilitat deguda a lectura fora de límits.

CVE-2022-0547: Manca d’autenticació.

CVE-2022-25235: Codificació incorrecta de la sortida.

CVE-2022-25236: Execució de codi arbitrari.

 

Recomanacions

Referències

[1] https://gavazziautomation.com

[2] https://cert.vde.com/en/

Introducció

Siemens^[1] ha publicat al seu comunicat mensual diverses actualitzacions de seguretat entre les quals destaca la reportada per l’empresa de ciberseguretat industrial Claroty que aplica a les claus criptogràfiques dels PLC de la família S7-1200/1500. Els investigadors han demostrat que un atacant podria fer servir aquestes claus per realitzar múltiples atacs contra els dispositius Siemens SIMATIC i el TIA Portal relacionat.

 

Anàlisi

Siemens ha emès un total de 15 nous avisos de seguretat i una nota d’informació addicional per a SSA-568427, recopilant un total de 24 vulnerabilitats, sent 4 de severitat crítica, 13 altes, 6 mitjanes i 1 baixa.

Les vulnerabilitats de severitat crítica es corresponen amb:

CVE-2022-38465: La clau privada no es protegeix prou, cosa que podria permetre a un atacant descobrir-la mitjançant un atac fora de línia i obtenir informació confidencial de projectes.

CVE-2022-41665: Els dispositius afectats no validen el paràmetre GET d’una sol·licitud específica, això podria permetre a un atacant autenticat fer una denegació de servei o executar codi arbitrari.

CVE-2022-33139: Les aplicacions afectades només utilitzen l’autenticació del costat del client, quan no estan habilitades ni l’autenticació del costat del servidor (SSA) ni l’autenticació Kerberos, això podria permetre a un atacant suplantar altres usuaris o explotar el protocol client-servidor sense estar autenticats.

CVE-2022-36361: Els dispositius afectats no validen correctament l’estructura dels paquets TCP en diversos mètodes. Això podria permetre a un atacant provocar desbordaments de memòria intermèdia, obtenir el control del comptador d’instruccions i executar codi personalitzat.

 

Recomanacions

 

Referències

[1] https://siemensindustry.com

[2] Panel de descargas de Siemens