Siemens, en su comunicado mensual de parches de seguridad, ha emitido un total de 12 nuevos avisos de seguridad, recopilando un total de 37 vulnerabilidades de distintas severidades, 2 de ellas vulnerabilidades de severidad crítica.
Análisis
La vulnerabilidad de severidad critica asociada a los casi 150 productos RUGGEDCOM [1] afectados es la siguiente:
-
-
- CVE-2023-24845: Provisión incorrecta de la funcionalidad especificada (CWE- 684) :
Los productos afectados no bloquean suficientemente el reenvío de datos a través del port mirror a la red reflejada. Un atacante podría utilizar este comportamiento para transmitir paquetes maliciosos a los sistemas de la red en espejo, posiblemente influyendo en su configuración y comportamiento en tiempo de ejecución.
- CVE-2023-24845: Provisión incorrecta de la funcionalidad especificada (CWE- 684) :
-
La vulnerabilidad de severidad critica asociada a los productos RUGGEDCOM CROSSBOW[2] es la siguiente:
-
-
- CVE-2023-37372: Inyección de comandos SQL (CWE-89) :
La aplicación afectada es vulnerable a la inyección SQL. Esto podría permitir a un atacante remoto no autenticado ejecutar consultas SQL arbitrarias en la base de datos del servidor.- RUGGEDCOM CROSSBOW: Todas las versiones < V5.4
- CVE-2023-37372: Inyección de comandos SQL (CWE-89) :
-
El listado completo de productos y versiones afectadas puede consultarse en las referencias.
Recomendaciones
Las actualizaciones que corrigen las vulnerabilidades indicadas pueden obtenerse desde el panel de descarga de Siemens[3]. Para los productos sin actualizaciones disponibles es recomendable aplicar las medidas de mitigación descritas en la sección de ‘Referencias’.
Referencias
[1]SSA-908185: Mirror Port Isolation Vulnerability in RUGGEDCOM ROS Devices [2]SSA-472630: Security Vulnerabilities Fixed in RUGGEDCOM CROSSBOW V5.4 [3]Panel de descarga de Siemens