Author: Industriales CSIRT-CV

Introducció

Sam Hanson de Dragos ha reportat al CISA^[1] quatre vulnerabilitats de severitat crítica a les versions 2020 R2 SP1 i anteriors del software HMI/SCADA d’AVEVA Edge, abans conegut com InduSoft Web Studio^[2].

 

Anàlisi

Les vulnerabilitats, d’importància crítica i l’explotació de les quals podria permetre a un atacant inserir arxius DLL maliciosos per executar codi, han estat registrades amb els identificadors següents:

CVE-2016-2542: Un atacant amb accés al sistema de fitxers podria executar codi arbitrari i l’escalada de privilegis en enganyar el paquet InstallShield d’AVEVA Edge perquè carregui una DLL no segura.

CVE-2021-42796: Un actor maliciós podria escanejar la xarxa interna i exposar informació confidencial del dispositiu.

CVE-2021-42794: La vulnerabilitat permet l’execució d’ordres arbitràries no autenticades amb el context de seguretat del procés StADOSvr.exe. En la majoria dels casos, serà un compte d’usuari amb privilegis estàndard amb què es va iniciar el temps d’execució d’AVEVA Edge.

CVE-2021-42797: Un actor no autenticat, podria enganyar l’AVEVA Edge runtime perquè reveli un token d’accés de Windows del compte d’usuari configurat per accedir a recursos de base de dades externs.

 

Recomanacions

AVEVA aconsella que les organitzacions avaluïn l’impacte d’aquestes vulnerabilitats en funció del sistema operatiu, l’arquitectura i les implementacions de productes, de la mateixa manera recomana aplicar l‟actualització 2020 R2 SP2^[3] com més aviat millor i restringir l’accés al port TCP/3997.

 

Referències

[1] ICS Advisory (ICSA-22-326-01 ) AVEVA Edge
[2] Boletín de seguridad de AVEVA Edge
[3] AVEVA Edge 2020 R2 SP2

Introducció

Reid Wightman de Dragos^[1] ha reportat dues vulnerabilitats del tipus utilització de credencials codificades i sorteig de credencials per captura que afecta els productes NJ/NX del fabricant Omron Electronics.

 

Anàlisi

Les vulnerabilitats, d’importància crítica, s’han registrat amb els identificadors següents:

CVE-2022-34151: L’ús de credencials codificades podria permetre a un atacant remot accedir al controlador.

CVE-2022-33208: Un atacant, havent capturat i analitzat la comunicació entre els controladors afectats i el software d’automatització Sysmac Studio i/o un terminal programable (PT), podria obtenir informació confidencial que permetria eludir l’autenticació i accedir al controlador.

 

Recomanacions

Referències

[1] ICS Advisory (ICSA-22-314-08 ) Omron NJ/NX-series Machine Automation Controllers
[2] Omron Automatización Industrial

Introducció

Al comunicat mensual de Siemens de partxes de seguretat han emès un total de 9 nous avisos de seguretat, recopilant un total de 30 vulnerabilitats, sent 11 de severitat crítica, 12 altes i 7 mitjanes.

Anàlisi

Les vulnerabilitats de severitat critica associades als productes afectats són les següents:

• • CVE-2022-43439, CVE-2022-43545 i CVE-2022-43546 ^[1]: permetre a un atacant remot autenticat bloquejar el dispositiu (seguit d’un reinici automàtic) o executar codi arbitrari al dispositiu.
    • POWER METER SICAM Q100 (7KG9501-0AA01-2AA1 i 7KG9501-0AA31-2AA1), versions anteriors a 2.50.

• • CVE-2022-38465 ^[2]: permetre als atacants descobrir la clau privada d’una família de productes de CPU mitjançant un atac fora de línia contra una sola CPU de la família. Els atacants podrien llavors utilitzar aquest coneixement per extreure dades de configuració confidencials dels projectes que estan protegits per aquesta clau o per fer atacs contra la comunicació legacy PG/PC i HMI
    • SINUMERIK MC,
    • SINUMERIK ONE

• • CVE-2022-37885, CVE-2022-37886, CVE-2022-37887, CVE-2022-37888, CVE-2022-37889, CVE-2022-37890 i CVE-2022-3789 ^[3]: executar codi de forma remota o ordres arbitràries..
    • SCALANCE W1750D:
    • 6GK5750-2HX01-1AD0;
    • 6GK5750-2HX01-1AA0;
    • 6GK5750-2HX01-1AB0.

La resta de les vulnerabilitats no crítiques es troben detallades al portal de publicacions de Siemens ^[4].

Recomanacions

Les actualitzacions que corregeixen les vulnerabilitats indicades es poden obtenir des del panell de descàrrega de Siemens. Per als productes sense actualitzacions disponibles és recomanable aplicar les mesures de mitigació descrites a la secció de ‘Referències’.

 

Referències

[1] SSA-570294: Multiple Vulnerabilities in SICAM Q100 Before V2.50
[2] SSA-568428: Weak Key Protection Vulnerability in SINUMERIK ONE and SINUMERIK MC
[3] SSA-506569: Multiple Vulnerabilities in SCALANCE W1750D
[4] Siemens Security Advisories

Introducció

CERT@VDE, en coordinació amb Wiesemann & Theis, ha publicat 3 vulnerabilitats a la interfície web: 2 de severitat crítica i 1 de severitat alta.

Anàlisi

Les dues vulnerabilitats crítiques es descriuen a continuació:

CVE-2022-42785: Petit espai de valors aleatoris (CWE-334)

Diversos productes W&T de la sèrie Comserver utilitzen un espai de números petits per assignar els identificadors de sessió. Un atacant remot no autenticat pot forçar l’identificador de sessió i accedir a un compte al dispositiu.

CVE-2022-42787: Manca d’autenticació per a la funció crítica (CWE-306)

Diversos productes de W&T de la sèrie ComServer són propensos a un bypass d’autenticació. Un atacant remot no autenticat, podeu iniciar la sessió sense coneixement de la contrasenya mitjançant l’elaboració d’una sol·licitud HTTP GET modificada.

Els productes afectats són els següents:

• • Versions anteriors a 1.48 dels productes:
    • AT-Modem-Emulator,
    • Com-Server ++,
    • Com-Server 20mA,
    • Com-Server LC,
    • Com-Server PoE 3 x Isolated,
    • Com-Server UL.
  • Versions anteriors a 1.76 dels productes:
    • Com-Server Highspeed 100BaseFX,
    • Com-Server Highspeed 100BaseLX,
    • Com-Server Highspeed 19″ 1Port,
    • Com-Server Highspeed 19″ 4Port,
    • Com-Server Highspeed Compact,
    • Com-Server Highspeed Industry,
    • Com-Server Highspeed Isolated,
    • Com-Server Highspeed OEM,
    • Com-Server Highspeed Office 1 Port,
    • Com-Server Highspeed Office 4 Port,
    • Com-Server Highspeed PoE.

Recomanacions

Actualitzar:

• • Com-Server Family a les versions 1.48 o superiors,
  • Com-Server Highspeed Family a les versions 1.76 o superiors.

 

Referències

[1] VDE-2022-043 Wiesemann &Theis: Multiple Vulnerabilities in the Com-Server Family