[SCI] Avisos de seguretat de Siemens de gener de 2023

Introducció

Siemens ha publicat en el seu comunicat mensual diverses actualitzacions de seguretat de diferents productes, amb un total de 6 nous avisos de seguretat, recopilant un total de 20 vulnerabilitats de diferents severitats, 5 d’elles crítiques.

Anàlisi

Entre totes les vulnerabilitats incloses en l’avís mensual, les de seguretat crítica són les següents:

CVE-2022-46823 [1]: Neutralització inadequada d’entrades durant la generació de pàgines web (‘Cross-site Scripting’) (CWE-79).
El mòdul afectat és vulnerable a atacs de cross-site scripting (XSS) reflectits. Això podria permetre a un atacant extraure informació sensible enganyant els usuaris perquè accedisquen a un enllaç maliciós.

CVE-2022-2068 [2]: Neutralització inadequada d’elements especials utilitzats en un comando de sistema operatiu (CWE-78).
El script c_rehash no saneja correctament els metacaracteres de shell per a evitar la injecció de comandos. Aquest script és distribuït per alguns sistemes operatius de manera que s’executa automàticament. En aquests sistemes operatius, un atacant podria executar comandos arbitraris amb els privilegis del script. L’ús del script c_rehash es considera obsolet i ha de ser reemplaçat per l’eina de línia de comandos rehash de OpenSSL.

CVE-2022-2274 [2]: Escriptura fora dels límits (CWE-787).
La versió 3.0.4 de OpenSSL va introduir un greu error en la implementació RSA per a CPUs X86_64. Aquest problema fa que la implementació d’RSA amb claus privades de 2048 bits siga incorrecta en aquestes màquines i que es produïsca una corrupció de memòria durant el càlcul. Com a conseqüència d, un atacant pot ser capaç de desencadenar una execució remota de codi en la màquina que realitza el càlcul.

CVE-2022-35256 [2]: Evasió d’autenticació per suplantació d’identitat (CWE-290).
L’analitzador llhttp en el mòdul http en Node.js v18.7.0 no maneja correctament els camps d’encapçalat que no estan acabats amb CLRF. Això pot resultar en HTTP Request Smuggling.

CVE-2022-45092 [2]: Limitació inadequada d’un nom de ruta a un directori restringit (‘Path Traversal’) (CWE-22).
Un atacant remot autenticat amb accés a la gestió basada en Web (443/tcp) del producte afectat, podria potencialment llegir i escriure arxius arbitraris des d’i cap al sistema d’arxius del dispositiu. Un atacant podria aprofitar això per a desencadenar l’execució remota de codi en el component afectat.

Les vulnerabilitats anteriors afecten dos productes. CVE-2022-46823 a les següents versions:

    • Mendix SAML (Mendix 8 compatible) Totes les versions >= V2.3.0 < V2.3.4
    • Mendix SAML (Mendix 9 compatible, New Track) Totes les versions >= V3.3.0 < V3.3.9
    • Mendix SAML (Mendix 9 compatible, Upgrade Track) Totes les versions >= V3.3.0 < V3.3.8

Y todas las demás críticas corresponden a:

    • SINEC INS Totes les versions < V1.0 SP2 Update 1

Recomanacions

Les dues recomanacions generals indicades pel fabricant són:

    • Actualitzar a l’última versió.
    • Activar el segon factor d’autenticació (2FA), sempre que siga possible.
  • Per a ampliar informació consultar les referències.

Referéncies

[1] SSA-496604: Cross-Site Scripting Vulnerability in Mendix SAML Module

[2] SSA-332410: Multiple Vulnerabilities in SINEC INS before V1.0 SP2 Update 1