[SCI] Múltiples vulnerabilitats en productes ABB

Introducció

Diversos investigadors han reportat un total de 31 vulnerabilitats que afecten diversos productes ABB sent 16 d’elles de severitat crítica.[1] L’explotació d’estes vulnerabilitats podria permetre a un atacant interrompre les operacions o executar codi remot.[2]

Anàlisi

Les vulnerabilitats crítiques trobades són les següents:

    • CVE-2024-6209 – Accés extern a arxius i directoris (CWE-552):

Accés no autoritzat a arxius en WEB Server permet a un atacant accedir a arxius no autoritzats.

    • CVE-2024-6298 – Incorrecta validació d’entrada de tipus específica (CWE-1287):

Vulnerabilitat de validació d’entrada incorrecta en ABB ASPECT-Enterprise en Linux, ABB NEXUS Sèries en Linux, ABB MATRIX Sèries en Linux permet la inclusió remota de codi.

    • CVE-2024-6515 – Transmissió d’informació sensible en text clar (CWE-319):

La interfície del navegador web pot manipular el nom d’usuari i la contrasenya de l’aplicació en text simple o codificació Base64, la qual cosa augmenta la probabilitat d’exposició no desitjada de credencials.

    • CVE-2024-6516 – Neutralització incorrecta de l’entrada durant la generació de la pàgina web (Cross-site Scripting) (CWE-79):

Es van trobar vulnerabilitats de cross site scripting que permetien la injecció de scripts malicioses en el navegador d’un client.

    • CVE-2024-6784 – Falsificació de sol·licitud en servidor (SSRF) (CWE-918):

Es van trobar vulnerabilitats de Server-Side Request Forgery que brinden la possibilitat d’accedir a recursos no autoritzats i divulgar informació no desitjada.

    • CVE-2024-48845 – Requeriments febles per a la creació de contrasenyes (CWE-521):

Es van trobar vulnerabilitats en les regles de restabliment de contrasenyes febles que brinden la possibilitat d’emmagatzemar contrasenyes febles que podrien facilitar l’accés no autoritzat a aplicacions o administradors.

    • CVE-2024-48839 – Control incorrecte de generació de codi (CWE-94):

La vulnerabilitat de validació d’entrada incorrecta permet l’execució remota de codi.

    • CVE-2024-48840 – Control incorrecte de generació de codi (CWE-94):

Les vulnerabilitats d’accés no autoritzat permeten l’execució remota de codi.

    • CVE-2024-51545 – Credencials insuficientment protegides (CWE-522):

Les vulnerabilitats d’enumeració de noms d’usuari permeten l’accés a funcions d’addició, eliminació, modificació i llista de noms d’usuari a nivell d’aplicació.

    • CVE-2024-51548 – Pujada sense restriccions de fitxers de tipus perillosos (CWE-434):

Les vulnerabilitats de càrrega d’arxius perillosos permeten la càrrega de scripts maliciosos.

    • CVE-2024-51549 – Salt de directori absolut (CWE-434):

Les vulnerabilitats de Absolute File Traversal permeten l’accés i la modificació de recursos no desitjats.

    • CVE-2024-51550 – Incorrecta validació d’entrada de tipus específica (CWE-1287):

Les vulnerabilitats de validació i desinfecció de dades en Linux permeten que s’injecten dades no validades ni desinfectats en un dispositiu Aspect.

    • CVE-2024-51551 – Ús de credencials per defecte (CWE-1392):

Les vulnerabilitats de credencials predeterminades en *ASPECT en Linux permeten l’accés al producte mitjançant credencials predeterminades disponibles públicament.

    • CVE-2024-51554 – Off by One Error (CWE-193):

Una vulnerabilitat de tipus Off by One Error permet que es done una condició de fora de rang d’un array en un script de log.

    • CVE-2024-51555 – Ús de contrasenyes per defecte (CWE-1393):

Les vulnerabilitats de credencials predeterminades permeten l’accés a un dispositiu Aspect utilitzant credencials predeterminades disponibles públicament, ja que el sistema no requerix que l’instal·lador canvie les credencials predeterminades.

    • CVE-2024-11317 – Fixació de sessió (CWE-384):

Les vulnerabilitats de fixació de sessió permeten a un atacant fixar l’identificador de sessió d’un usuari abans d’iniciar sessió, la qual cosa brinda l’oportunitat de prendre el control de la sessió en un producte.

Els següents productes estan afectats:

    • ABB NEXUS Series: NEXUS-3-x;
    • ABB NEXUS Series: NEX-2x;
    • ABB ASPECT-Enterprise: ASP-ENT-x;
    • ABB MATRIX Series: MAT-x;
    • ABB ASPECT-Enterprise: ASP-ENT-x;
    • Tota la sèrie de productes AC500 V3 (PM5xxx).

La relació de versions afectades pot consultar-se en les referències.

Recomanacions

ABB ha llançat solucions i mitigacions específiques que els usuaris poden aplicar per a reduir el risc de les vulnerabilitats. ABB recomana als seus clients que apliquen les diferents actualitzacions al més prompte possible.

Per a més informació sobre les versions correctors, consultar els avisos inclosos en les referències.

Referencias

[1] ICSA-24-352-03: Rockwell Automation PowerMonitor 1000 Remote

[2] SD1714: PowerMonitor 1000 Remote Code Execution and denial-of-service Vulnerabilities via HTTP protocol

[SCI] Injecció de comandos en productes Moxa

Introducció

L’investigador, Lars Haulin, ha reportat 2 vulnerabilitats que afecten múltiples dispositius Moxa com poden ser encaminadors i de seguretat de xarxa, sent una d’elles de severitat crítica. L’explotació d’esta vulnerabilitats podria permetre a un atacant injectar comandos del sistema operatiu.[1]

Anàlisi

La vulnerabilitat crítica trobada és la següent:

    • CVE-2024-9140 – Neutralització incorrecta d’elements especials usats en un comando de sistema operatiu (Injecció de comando de sistema operatiu) (CWE-78): Esta vulnerabilitat permet la injecció de comandos del sistema operatiu a causa de comandos restringits incorrectament, la qual cosa potencialment permet als atacants executar codi arbitrari. Això representa un risc significatiu per a la seguretat i la funcionalitat del sistema.

Les següents versions de firmware i anteriors es veuen afectades, per a cada conjunt de productes:

    • 1.0.5:
      • NAT-102.
    • 3.13.1:
      • EDR-8010;
      • EDR-G9004;
      • EDR-G9010;
      • EDF-G1002-BP.
    • 3.13:
      • OnCell G4302-LTE4;
      • TN-4900.

Recomanacions

  • Actualitzar el firmware a les versions 3.14 o posteriors per als productes:
    • EDR-8010;
    • EDR-G9004;
    • EDR-G9010;
    • EDF-G1002-BP.
  • No es disposa de pegat de firmware oficial per al producte NAT-102, es recomana consultar la secció de mitigacions de la pàgina web inclosa en referències.
  • Contactar amb el suport tècnic de Moxa per a obtindre el pegat de seguretat en els productes:
    • OnCell G4302-LTE4;
    • TN-4900.

Referències

[1] Privilege Escalation and OS Command Injection Vulnerabilities in Cellular Routers, Secure Routers, and Network Security Appliances

[SCI] Múltiples vulnerabilitats en Power Monitor 1000 de Rockwell Automation

Introducció

Vera Mens, de Claroty Research – Team82, ha reportat 3 vulnerabilitats de severitat crítica, l’explotació de la qual podria permetre a un atacant realitzar operacions d’edició, crear usuaris administradors, realitzar un restabliment de fàbrica, executar codi arbitrari o causar una condició de denegació de servici.[1]

Anàlisi

Las vulnerabilidades críticas encontradas son las siguientes[2]:

    • CVE-2024-12371 – Absència d’autenticació per a una funció crítica (CWE-306):
      Existix una vulnerabilitat d’apropiació de dispositius en Rockwell Automation Power Monitor 1000. Esta vulnerabilitat permet la configuració d’un nou usuari titular de la pòlissa sense cap autenticació a través de API. L’usuari titular de la pòlissa és l’usuari amb més privilegis que pot realitzar operacions d’edició, crear usuaris administradors i realitzar restabliments de fàbrica.
    • CVE-2024-12372 – Control incorrecte de generació de codi (Injecció de codi) (CWE-94):
      Existix una vulnerabilitat de denegació de servici i possible execució remota de codi en Rockwell Automation Power Monitor 1000. La vulnerabilitat provoca la corrupció de la memòria del munt, la qual cosa pot comprometre la integritat del sistema i permetre potencialment l’execució remota de codi o un atac de denegació de servici.
    • CVE-2024-12373 – Còpia de búfer sense comprovació de la grandària d’entrada (Desbordament de búfer clàssic) (CWE-94):
      Existix una vulnerabilitat de denegació de servici en Rockwell Automation Power Monitor 1000. La vulnerabilitat genera un desbordament de búfer, la qual cosa potencialment causa una denegació de servici.

La serie de productos afectados es:

    • PM1k 1408-BC3A-485: versions anteriors a la 4.020;
    • PM1k 1408-BC3A-ENT: versions anteriors a la 4.020;
    • PM1k 1408-TS3A-485: versions anteriors a la 4.020;
    • PM1k 1408-TS3A-ENT: versions anteriors a la 4.020;
    • PM1k 1408-EM3A-485: versions anteriors a la 4.020;
    • PM1k 1408-EM3A-ENT: versions anteriors a la 4.020;
    • PM1k 1408-TR1A-485: versions anteriors a la 4.020;
    • PM1k 1408-TR2A-485: versions anteriors a la 4.020;
    • PM1k 1408-EM1A-485: versions anteriors a la 4.020;
    • PM1k 1408-EM2A-485: versions anteriors a la 4.020;
    • PM1k 1408-TR1A-ENT: versions anteriors a la 4.020;
    • PM1k 1408-TR2A-ENT: versions anteriors a la 4.020;
    • PM1k 1408-EM1A-ENT: versions anteriors a la 4.020;

Recomanacions

Rockwell Automation ha corregit les vulnerabilitats reportades en la versió de firmware 4.020, i recomana als usuaris actualitzar a l’última versió disponible.

Referències

[1] ICSA-24-352-03: Rockwell Automation PowerMonitor 1000 Remote
[2] SD1714: PowerMonitor 1000 Remote Code Execution and denial-of-service Vulnerabilities via HTTP protocol

[SCI] Múltiples vulnerabilitats en Planet WGS-804HPT de Planet Technology

Introducció

Tomer Goldschmidt, de Claroty Research – Team82, ha informat sobre 3 vulnerabilitats en Planet WGS-804HPT: 2 d’elles de severitat crítica, que podrien provocar una execució remota de codi o un bloqueig del programa.[1]

Anàlisi

Les vulnerabilitats crítiques trobades són les següents:

    • CVE-2024-48871 – Desbordament de búfer basat en pila (CWE-121):
      El producte afectat és vulnerable a un desbordament de búfer basat en la pila. Un atacant no autenticat podria enviar una sol·licitud HTTP maliciosa perquè el servidor web no comprove correctament la grandària d’entrada abans de copiar les dades a la pila, la qual cosa podria permetre l’execució remota de codi.
    • CVE-2024-52320 – Neutralització incorrecta d’elements especials usats en un comando de sistema operatiu (Injecció de comando de sistema operatiu) (CWE-78):
      El producte afectat és vulnerable a una injecció de comandos. Un atacant no autenticat podria enviar comandos a través d’una sol·licitud HTTP maliciosa que podria provocar l’execució remota de codi.

La sèrie de productes afectats és:

    • Planet WGS-804HPT: versió v1.305b210531

Recomanacions

Actualitzar a la versió 1.305b241111 o superior.

Referències

[1] CISA-24-340-02 – Planet Technology Planet WGS-804HPT