Autor: Industriales CSIRT-CV

Introducción

Sam Hanson de Dragos ha reportado al CISA^[1] cuatro vulnerabilidades de severidad crítica en las versiones 2020 R2 SP1 y anteriores del software HMI/SCADA de AVEVA Edge, antes conocido como InduSoft Web Studio^[2].

 

Análisis

Las vulnerabilidades, de importancia crítica y cuya explotación podría permitir a un atacante insertar archivos DLL maliciosos para ejecutar código, han sido registradas con los siguientes identificadores:

CVE-2016-2542: Un atacante con acceso al sistema de archivos podría ejecutar código arbitrario y la escalada de privilegios al engañar al paquete InstallShield de AVEVA Edge para que cargue una DLL no segura.

CVE-2021-42796: Un actor malicioso podría escanear la red interna y exponer información confidencial del dispositivo.

CVE-2021-42794:La vulnerabilidad permite la ejecución de comandos arbitrarios no autenticados con el contexto de seguridad del proceso StADOSvr.exe. En la mayoría de los casos, será una cuenta de usuario con privilegios estándar con la que se inició el tiempo de ejecución de AVEVA Edge.

CVE-2021-42797: Un actor no autenticado, podría engañar al AVEVA Edge runtime para que revele un token de acceso de Windows de la cuenta de usuario configurada para acceder a recursos de base de datos externos.

 

Recomendaciones

AVEVA aconseja que las organizaciones evalúen el impacto de estas vulnerabilidades en función del sistema operativo, la arquitectura y las implementaciones de productos, de la misma manera recomienda aplicar la actualización 2020 R2 SP2^[3] lo antes posible y restringir el acceso al puerto TCP/3997.

 

Referencias

[1] ICS Advisory (ICSA-22-326-01 ) AVEVA Edge
[2] Boletín de seguridad de AVEVA Edge
[3] AVEVA Edge 2020 R2 SP2

Introducción

Reid Wightman de Dragos^[1] ha reportado dos vulnerabilidades del tipo utilización de credenciales codificadas y sorteo de credenciales por captura que afecta a los productos NJ/NX del fabricante Omron Electronics.

 

Análisis

Las vulnerabilidades, de importancia crítica, se han registrado con los siguientes identificadores:

CVE-2022-34151: El uso de credenciales codificadas podría permitir a un atacante remoto, acceder al controlador.

CVE-2022-33208: Un atacante, habiendo capturado y analizado la comunicación entre los controladores afectados y el software de automatización Sysmac Studio y/o un terminal programable (PT), podría obtener información confidencial que le permitiría eludir la autenticación y acceder al controlador.

 

Recomendaciones

Referencias

[1] ICS Advisory (ICSA-22-314-08 ) Omron NJ/NX-series Machine Automation Controllers
[2] Omron Automatización Industrial

Introducción

En el comunicado mensual de Siemens de parches de seguridad han emitido un total de 9 nuevos avisos de seguridad, recopilando un total de 30 vulnerabilidades, siendo 11 de severidad crítica, 12 altas y 7 medias.

Análisis

Las vulnerabilidades de severidad critica asociadas a los productos afectados son las siguientes:

• • CVE-2022-43439, CVE-2022-43545 y CVE-2022-43546 ^[1]: permitir a un atacante remoto autenticado bloquear el dispositivo (seguido de un reinicio automático) o ejecutar código arbitrario en el dispositivo.
    • POWER METER SICAM Q100 (7KG9501-0AA01-2AA1 y 7KG9501-0AA31-2AA1), versiones anteriores a 2.50.

• • CVE-2022-38465 ^[2]: permitir a los atacantes descubrir la clave privada de una familia de productos de CPU mediante un ataque fuera de línea contra una sola CPU de la familia. Los atacantes podrían entonces utilizar este conocimiento para extraer datos de configuración confidenciales de los proyectos que están protegidos por esa clave o para realizar ataques contra la comunicación legacy PG/PC y HMI
    • SINUMERIK MC,
    • SINUMERIK ONE,

• • CVE-2022-37885, CVE-2022-37886, CVE-2022-37887, CVE-2022-37888, CVE-2022-37889, CVE-2022-37890 y CVE-2022-37891 ^[3]: ejecutar código de forma remota o comandos arbitrarios.
    • SCALANCE W1750D:
      • 6GK5750-2HX01-1AD0;
      • 6GK5750-2HX01-1AA0;
      • 6GK5750-2HX01-1AB0.

El resto de las vulnerabilidades no críticas se encuentran detalladas en el portal de publicaciones de Siemens ^[4].

Recomendaciones

Referencias

[1] SSA-570294: Multiple Vulnerabilities in SICAM Q100 Before V2.50
[2] SSA-568428: Weak Key Protection Vulnerability in SINUMERIK ONE and SINUMERIK MC
[3] SSA-506569: Multiple Vulnerabilities in SCALANCE W1750D
[4] Siemens Security Advisories

Introducción

CERT@VDE, en coordinación con Wiesemann & Theis, ha publicado 3 vulnerabilidades en la interfaz web: 2 de severidad crítica y 1 de severidad alta.

Análisis

Las dos vulnerabilidades críticas se describen a continuación:

CVE-2022-42785: Pequeño espacio de valores aleatorios (CWE-334)
Varios productos W&T de la serie Comserver utilizan un espacio de números pequeños para asignar los identificadores de sesión. Un atacante remoto no autenticado puede forzar el identificador de sesión y obtener acceso a una cuenta en el dispositivo.

CVE-2022-42787: Falta de autenticación para la función crítica (CWE-306)
Varios productos de W&T de la serie ComServer son propensos a un bypass de autenticación. Un atacante remoto no autenticado, puede iniciar la sesión sin conocimiento de la contraseña mediante la elaboración de una solicitud HTTP GET modificada.

Los productos afectados son los siguientes:

• • Versiones anteriores a 1.48 de los productos:
    • AT-Modem-Emulator,
    • Com-Server ++,
    • Com-Server 20mA,
    • Com-Server LC,
    • Com-Server PoE 3 x Isolated,
    • Com-Server UL.

• • Versiones anteriores a 1.76 de los productos:
    • Com-Server Highspeed 100BaseFX,
    • Com-Server Highspeed 100BaseLX,
    • Com-Server Highspeed 19″ 1Port,
    • Com-Server Highspeed 19″ 4Port,
    • Com-Server Highspeed Compact,
    • Com-Server Highspeed Industry,
    • Com-Server Highspeed Isolated,
    • Com-Server Highspeed OEM,
    • Com-Server Highspeed Office 1 Port,
    • Com-Server Highspeed Office 4 Port,
    • Com-Server Highspeed PoE.

Recomendaciones

Actualizar:

• • Com-Server Family a las versiones 1.48 o superiores,
  • Com-Server Highspeed Family a las versiones 1.76 o superiores.

Referencias

[1] VDE-2022-043 Wiesemann &Theis: Multiple Vulnerabilities in the Com-Server Family