Autor: Industriales CSIRT-CV

Introducción

CERT@VDE^[1], en colaboración con la empresa de componentes electrónicos para tecnología de automatización WAGO GmbH & Co.^[2]  ha reportado varias vulnerabilidades en sus controladores PFC100/PFC200, los controladores de ethernet de tercera y cuarta generación de la serie 750 y el software WAGO-I/O-PRO/CODESYS 2.3.

 

Análisis

La explotación de estas vulnerabilidades podría permitir a un atacante causar una denegación de servicio (DoS), eliminar archivos, acceder a comunicaciones cliente/servidor o eludir el filtrado de direcciones MAC. El aviso contiene 7 vulnerabilidades de severidad alta, 6 de severidad media y 2 de severidad crítica, las cuales tienen asignadas los siguientes identificadores:

CVE-2022-31806: En CODESYS V2 PLCWinNT y Runtime Toolkit 32 la protección por contraseña no está habilitada por defecto y no hay aviso para habilitar dicha protección en el inicio de sesión.

CVE-2022-31802: En CODESYS Gateway Server V2 sólo se compara una parte de la contraseña especificada con la contraseña real de CODESYS Gateway. Un atacante podría realizar la autenticación especificando una pequeña contraseña que coincida con la parte correspondiente de la contraseña real más larga de CODESYS Gateway.

 

Recomendaciones

Referencias

[1] CERT@VDE

[2] WAGO GmbH & Co.

[3] Página de descargas CODESYS

Introducción

Francesco Benvenuto de Cisco Talos^[1] ha descubierto recientemente nueve vulnerabilidades en el router industrial Robustel R1510, varias de las cuales podrían permitir que un adversario inyecte código en el sistema operativo de forma remota.

 

Análisis

Las vulnerabilidades críticas se han registrado con los siguientes identificadores:

CVE-2022-33325, CVE-2022-33329, CVE-2022-33312 y CVE-2022-33314: Un atacante podría inyectar comandos en el sistema operativo del router al enviar una solicitud de red especialmente diseñada.

CVE-2022-34845, CVE-2022-32585 y CVE-2022-34850: Un usuario podría ejecutar código arbitrario iniciando sesión como administrador.

CVE-2022-35261 y CVE-2022-35271: Un atacante podría enviar una solicitud de red especialmente diseñada para realizar, una denegación de servicio en la funcionalidad hashFirst del servidor web del dispositivo, pudiendo bloquearlo.

CVE-2022-28127 y CVE-2022-33897: Una atacante podría eliminar archivos arbitrarios en el servidor web del dispositivo, aunque se haya implementado una verificación de ruta transversal.

 

Recomendaciones

Referencias

[1] Cisco Talos Intelligence Group

[2] https://snort.org/

Introducción

Se ha conocido una vulnerabilidad crítica en el framework Java Spring que permiten tomar remotamente el control de aplicaciones. Esta vulnerabilidad web, que recuerda a Log4Shell, afecta a la familia de productos siPass y Siveillance Identity de Siemens^[1], Bosch MATRIX del fabricante Bosch^[2] y Lumada Asset Performance Manager del fabricante Hitachi Energy^[3].

 

Análisis

Spring4Shell o SpringShell han sido los nombres dados a la vulnerabilidad y que permite llegar a ejecutar código de forma remota mediante una secuencia de peticiones HTTP específicas.

La vulnerabilidad tiene una criticidad muy elevada, pudiendo comprometer la confidencialidad, integridad y disponibilidad de los datos. Se le ha asignado el identificador CVE-2022-22965, afecta a las aplicaciones Spring MVC y Spring WebFlux que se ejecutan en JDK 9+. El exploit requiere que la aplicación se ejecute en Tomcat como un despliegue WAR. Si la aplicación se despliega como un JAR ejecutable de Spring Boot (configuración por defecto) no es vulnerable.

La explotación de esta vulnerabilidad requiere un endpoint con DataBinder habilitado y depende en gran medida del contenedor de servlets de la aplicación.

 

Recomendaciones

Referencias

[1] Spring Framework Vulnerability (CVE-2022-22965) – Impact to Siemens Products

[2] Improper Control of Generation of Code in Bosch MATRIX

[3] Hitachi CYBERSECURITY ADVISORY

ICS Advisory (ICSA-22-286-01)

Introducción

El fabricante de componentes electrónicos Phoenix Contact^[1] en coordinación con el CERT@VDE^[2]  ha publicado un aviso con múltiples vulnerabilidades que afectan a componentes Linux en el firmware empleado en los controladores PLCnext.

 

Análisis

Se han encontrado un total de 83 vulnerabilidades de importancia crítica, alta y media que comprometerían la integridad, confidencialidad y disponibilidad de la familia de controladores PLCNext. Las vulnerabilidades más importantes son las siguientes, las cuales están clasificadas como críticas:

CVE-2022-32207: Al guardar datos de cookies en archivos locales se realiza un cambio de nombre del archivo de temporal a definitivo. En esa operación de cambio de nombre, se podrían ampliar los permisos para el archivo, dejándolo accesible a más usuarios de los previstos.

CVE-2022-2207: Vulnerabilidad de desbordamiento de búfer basado en pila.

CVE-2022-1927: Vulnerabilidad debida a lectura fuera de límites.

CVE-2022-0547: Falta de  autenticación.

CVE-2022-25235: Codificación incorrecta de la salida.

CVE-2022-25236: Ejecución de código arbitrario.

 

Recomendaciones

Referencias

[1] https://gavazziautomation.com

[2] https://cert.vde.com/en/