Introducción
Siemens ha publicado en su comunicado mensual varias actualizaciones de seguridad de diferentes productos, con un total de 6 nuevos avisos de seguridad, recopilando un total de 20 vulnerabilidades de distintas severidades, 5 de ellas críticas.
Análisis
Entre todas las vulnerabilidades incluidas en el aviso mensual, las de seguridad crítica son las siguientes:
CVE-2022-46823 [1]: Neutralización inadecuada de entradas durante la generación de páginas web (‘Cross-site Scripting’) (CWE-79).
El módulo afectado es vulnerable a ataques de cross-site scripting (XSS) reflejados. Esto podría permitir a un atacante extraer información sensible engañando a los usuarios para que accedan a un enlace malicioso.
CVE-2022-2068 [2]: Neutralización inadecuada de elementos especiales utilizados en un comando de sistema operativo (CWE-78).
El script c_rehash no sanea correctamente los metacaracteres de shell para evitar la inyección de comandos. Este script es distribuido por algunos sistemas operativos de manera que se ejecuta automáticamente. En dichos sistemas operativos, un atacante podría ejecutar comandos arbitrarios con los privilegios del script. El uso del script c_rehash se considera obsoleto y debe ser reemplazado por la herramienta de línea de comandos rehash de OpenSSL.
CVE-2022-2274 [2]: Escritura fuera de los límites (CWE-787).
La versión 3.0.4 de OpenSSL introdujo un grave error en la implementación RSA para CPUs X86_64. Este problema hace que la implementación de RSA con claves privadas de 2048 bits sea incorrecta en dichas máquinas y que se produzca una corrupción de memoria durante el cálculo. Como consecuencia d, un atacante puede ser capaz de desencadenar una ejecución remota de código en la máquina que realiza el cálculo.
CVE-2022-35256 [2]: Evasión de autenticación por suplantación de identidad (CWE-290).
El analizador llhttp en el módulo http en Node.js v18.7.0 no maneja correctamente los campos de encabezado que no están terminados con CLRF. Esto puede resultar en HTTP Request Smuggling.
CVE-2022-45092 [2]: Limitación inadecuada de un nombre de ruta a un directorio restringido (‘Path Traversal’) (CWE-22).
Un atacante remoto autenticado con acceso a la gestión basada en Web (443/tcp) del producto afectado, podría potencialmente leer y escribir archivos arbitrarios desde y hacia el sistema de archivos del dispositivo. Un atacante podría aprovechar esto para desencadenar la ejecución remota de código en el componente afectado.
Las vulnerabilidades anteriores afectan a dos productos. CVE-2022-46823 a las siguientes versiones:
- Mendix SAML (Mendix 8 compatible) Todas las versionws >= V2.3.0 < V2.3.4
- Mendix SAML (Mendix 9 compatible, New Track) Todas las versiones >= V3.3.0 < V3.3.9
- Mendix SAML (Mendix 9 compatible, Upgrade Track) Todas las versiones >= V3.3.0 < V3.3.8
Y todas las demás críticas corresponden a:
- SINEC INS Todas las versiones < V1.0 SP2 Update 1
Recomendaciones
Las dos recomendaciones generales indicadas por el fabricante son:
- Actualizar a la última versión.
- Activar el segundo factor de autenticación (2FA), siempre que sea posible.
- Para ampliar información consultar las referencias.
Referencias
[1] SSA-496604: Cross-Site Scripting Vulnerability in Mendix SAML Module[2] SSA-332410: Multiple Vulnerabilities in SINEC INS before V1.0 SP2 Update 1