Autor: Industriales CSIRT-CV

Introducción

Rustam Amin, a través de VINCE^[1]  ha reportado al CISA una vulnerabilidad crítica en dispositivos Nova de Baicells Technologies^[2] , cuya explotación podría permitir a un atacante ejecutar comandos arbitrarios.

 

Análisis

CVE-2023-24508: Algunos dispositivos Nova son vulnerables a la explotación remota de código shell mediante la inyección de comandos HTTP, utilizando la ejecución previa al inicio de sesión con permisos de root.

 

Recomendaciones

Baicells solucionó esta vulnerabilidad en las versiones de firmware 3.7.11.3 y posteriores. También, recomienda a todos los usuarios que actualicen sus dispositivos RTS/RTD a versiones de firmware 3.7.11.6.

El firmware puede descargarse desde la página de la comunidad de Baicells^[3]  o actualizarse a través de OMC

 

Referencias

[1] VINCE
[2] ICS Advisory (ICSA-23-033-03)
[3] Baicells community page

Introducción

ICS Advisory ^[1]  ha anunciado 6 vulnerabilidades, 2 de severidad crítica y 4 de severidad alta que podrían permitir a un atacante ejecutar remotamente código o enviar comandos maliciosos en dispositivos de Delta Electronics.^[2]

 

Análisis

CVE-2022-42139: El servidor web del dispositivo afectado es vulnerable a la inyección de comandos autenticados a través de parámetros POST. Un actor malicioso podría obtener acceso completo al sistema operativo (SO) subyacente del dispositivo. Si el dispositivo actúa como un dispositivo clave en una red industrial, o controla varios equipos críticos a través de puertos serie, el atacante podría causar un gran daño en la red correspondiente. Se ha calculado una puntuación CVSS v3 de 9,9.

CVE-2023-0432: Esta vulnerabilidad, de severidad crítica podrían permitir que un actor de amenazas con privilegios bajos obtenga acceso de root al dispositivo, lo que podría permitirle enviar comandos maliciosos a los dispositivos administrados o también la ejecución remota de código sin necesidad de estar autenticado. Se ha asignado una puntuación base CVSS v3 de 9,0.

 

Recomendaciones

Delta Electronics corrigió estas vulnerabilidades y recomienda que todos los usuarios actualicen el firmware de los dispositivos afectados a las siguientes versiones o posteriores.

• • versión 1.3.0 de DIAScreen (se requiere inicio de sesión).
  • versión 2.5.2 de DVW-W02W2-E2.
  • versión 1.5.0.12 DX-2100-L1-CN.

 

Referencias

[1] ICS Advisory (ICSA-23-033-04)
[2] ICS Advisory (ICSA-23-033-05)

Introducción

En el aviso ICS Advisory (ICSA-23-017-01) ^[1] se anuncian cinco vulnerabilidades que afectan a un producto de GE Digital, reportadas por el investigador de Claroty Research, Uri Katz.

Análisis

La única vulnerabilidad de severidad crítica de este aviso es:

CVE-2022-46732: Omisión de autenticación mediante una vulnerabilidad de canal o ruta alternativa (CWE-288).
Incluso si la autenticación falla para la autenticación del servicio local, el comando solicitado aún podría ejecutarse independientemente del estado de autenticación.

La explotación exitosa de estas vulnerabilidades podría bloquear el dispositivo después del acceso, provocar una condición de desbordamiento del búfer y permitir la ejecución remota de código.

El producto afectado es:

• • Proficy Historian v7.0 y versiones superiores

Recomendaciones

• • GE Digital publicó la nueva versión Proficy Historian 2023 ^[2] para mitigar estas vulnerabilidades.
  • Los usuarios de este producto pueden encontrar más información sobre estas vulnerabilidades y cómo descargar e instalar las actualizaciones en la notificación de GE Digital indicada en las referencias ^[3].

Referencias

[1] ICS Advisory (ICSA-23-017-01)
[2] Proficy Historian 2023
[3] Notification document from GE Digital