Author: Industriales CSIRT-CV

Introducció

Rustam Amin, a través de VINCE^[1]  ha reportat al CISA una vulnerabilitat crítica en dispositius Nova de Baicells Technologies^[2] , l’explotació del qual podria permetre a un atacant executar comandes arbitràries.

 

Anàlisi

CVE-2023-24508: Alguns dispositius Nova són vulnerables a l’explotació remota de codi shell mitjançant la injecció de comandes HTTP, utilitzant l’execució prèvia a l’inici de sessió amb permisos de root.

 

Recomanacions

Baicells va solucionar aquesta vulnerabilitat a les versions de firmware 3.7.11.3 i posteriors. També recomana a tots els usuaris que actualitzin els dispositius RTS/RTD a versions de firmware 3.7.11.6.

El firmware es pot descarregar des de la pàgina de la comunitat de Baicells^[3]  o actualitzar-se a través d’OMC.

 

Referències

[1] VINCE
[2] ICS Advisory (ICSA-23-033-03)
[3] Baicells community page

Introducció

ICS Advisory ^[1]  ha anunciat 6 vulnerabilitats, 2 de severitat crítica i 4 de severitat alta que podrien permetre a un atacant executar remotament codi o enviar ordres malicioses en dispositius de Delta Electronics.^[2]

 

Anàlisi

CVE-2022-42139: El servidor web del dispositiu afectat és vulnerable a la injecció de comandaments a través de paràmetres POST. Un actor maliciós podria obtenir accés complet al sistema operatiu (SO) subjacent del dispositiu. Si el dispositiu actua com un dispositiu clau en una xarxa industrial, o controla diversos equips crítics a través de ports sèrie, l’atacant podria causar un gran dany a la xarxa corresponent. S’ha calculat una puntuació CVSS v3 de 9.9.

CVE-2023-0432: Aquesta vulnerabilitat, de severitat crítica podria permetre que un actor d’amenaces amb privilegis baixos obtingui accés de root al dispositiu, cosa que podria permetre enviar comandaments maliciosos als dispositius administrats o també l’execució remota de codi sense necessitat d’estar autenticat. S’ha assignat una puntuació base CVSS v3 de 9.0.

 

Recomanacions

Delta Electronics va corregir aquestes vulnerabilitats i recomana que tots els usuaris actualitzin el firmware dels dispositius afectats a les següents versions o posteriors.

• • versió 1.3.0 de DIAScreen (es requereix inici de sessió).
  • versió 2.5.2 de DVW-W02W2-E2.
  • versió 1.5.0.12 DX-2100-L1-CN.

 

Referències

[1] ICS Advisory (ICSA-23-033-04)
[2] ICS Advisory (ICSA-23-033-05)

Introducció

En l’avís ICS Advisory (ICSA-23-017-01)[1] s’anuncien cinc vulnerabilitats que afecten un producte de GE Digital, reportades per l’investigador de Claroty Research, Uri Katz.

Anàlisi

L’única vulnerabilitat de severitat crítica d’aquest avís és:

CVE-2022-46732: ]: Omissió d’autenticació mitjançant una vulnerabilitat de canal o ruta alternativa (CWE-288).
Fins i tot si l’autenticació falla per a l’autenticació del servei local, el comando sol·licitat encara podria executar-se independentment de l’estat d’autenticació.

L’explotació reeixida d’aquestes vulnerabilitats podria bloquejar el dispositiu després de l’accés, provocar una condició de desbordament del búfer i permetre l’execució remota de codi.
El producte afectat és:

• • Proficy Historian v7.0 i versions superiors

Recomanacions

• • GE Digital va publicar la nova versió *Proficy Historien 2023 ^[2] per a mitigar aquestes vulnerabilitats.
  • Els usuaris d’aquest producte poden trobar més informació sobre aquestes vulnerabilitats i com descarregar i instal·lar les actualitzacions en la notificació de GE Digital indicada en les referències ^[3].

Referéncies

[1] ICS Advisory (ICSA-23-017-01)
[2] Proficy Historian 2023
[3] Notification document from GE Digital