Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es
01/04/2014
Denegación de Servicio en el Sistema Operativo Siemens Rugged (ROS)
Una validación impropia de los datos de entrada en el interfaz Web de administración del sistema operativo Siemens Rugged (ROS), posibilita a atacantes remotos sin autenticar causar una denegación de servicio.Un investigador de la compañía Martem Telecontrol Systems ha informado de una vulnerabilidad en la validación de datos de entrada que afecta al servicio Web del sistema operativo Siemens Rugged (ROS).
La implementación del servidor Web de administración en los dispositivos afectados, posibilita un ataque de denegación a través de paquetes de red manipulados enviados al puerto 80 TCP.
Para la explotación de esta vulnerabilidad no es necesaria la autenticación y puede resultar necesario reiniciar el dispositivo para su recuperación.
El servicio a través de HTTPS (puerto 443/TCP) no se ve afectado.
La vulnerabilidad afecta a las siguientes versiones de Siemens ROS:
- Todas las versiones anteriores a ROS v3.11
- ROS v3.11 (para productos RS950G): toda versión anterios a ROS
- ROS v3.12: todas la versiones
- ROS v4.0 (para productos RSG2488): todas las versiones
None
Solución:Siemens ha publicado la actualización de firmware ROS v3.11.5 que corrige la vulnerabilidad y tiene en preparación la versión ROS v4.1 que también la corrige. Se recomienda a clientes que operen con dipositivos RS950G la actualización inmediata a ROS v3.11.5.
Para clientes con otro tipo de dispositivo afectado, se recomienda proteger apropiadamente el acceso al interfaz de administración y aplicar las siguientes medidas genéricas hasta que ROS v4.1 sea publicado:
- Minimizar la exposición de red en los dispositivos, impidiendo el acceso desde internet a los mismos
- Proteger los dispositivos a través un firewall y separarlos de la red de negocio
- Cuando el acceso remoto sea necesario, implementar una tecnología de acceso seguro de red a través de Virtual Private Networks (VPNs) que permitan solo accesos reconocidos
- SIEMENS. Denial-of-Service Vulnerability in Ruggedcom ROS-based Devices
- Siemens ROS Improper Input Validation