Introducció
S’han identificat 3 vulnerabilitats, 2 de severitat crítica i 1 alta en VC4 Visualization
Anàlisi
B&R VC4 és un paquet de software per a generar interfícies home-màquina utilitzant Automation Studio. Aquestes interfícies poden utilitzar-se per a controlar màquines o mostrar informació sobre les operacions en curs. La visualització de B&R VC4 utilitza la tecnologia VNC.
Les vulnerabilitats crítiques es detallen a continuació:
CVE-2018-20748: Escriptura fora de límits (CWE-787)
VNC conté múltiples vulnerabilitats d’escriptura fora de límits en libvncclient/rfbproto.c.
CVE-2023-1617: Autenticació incorrecta (CWE-287)
El component del servidor VNC posseeix un mecanisme d’autenticació inadequat, que podria permetre a un atacant, no autenticat, i amb accés a la xarxa, eludir el mecanisme d’autenticació en els dispositius afectats.
Un mecanisme d’autenticació inadequat en el component del servidor VNC utilitzat per les versions afectades de les visualitzacions VC4 de B&R pot permetre a un atacant no autenticat eludir el mecanisme d’autenticació de la visualització VC4 en els dispositius.
Les versions afectades són:
- 3.96.7 i anteriors.
- 4.06.4 i anteriors.
- 4.16.3 i anteriors.
- 4.26.8 i anteriors.
- 4.34.6 i anteriors.
- 4.45.1 i anteriors.
- 4.53.0 i anteriors.
- 4.72.9 i anteriors.
Recomanacions
Els problemes per a cada versió del producte s’han corregit en les següents:
- <3.9 = producte descatalogat
- 3.9 = 3.96.8
- 4.0 = Per favor, actualitze a la següent línia de versió fixa
- 4.1 = Per favor, actualitze a la següent línia de versió fixa
- 4.2 = Per favor, actualitze a la següent versió fixa
- 4.3 = 4.34.7
- 4.4 = Per favor, actualitze a la següent versió fixa
- 4.5 = Per favor, actualitze a la següent versió fixa
- 4.7 = 4.73.0
Seguisca el principi de mínima funcionalitat:
- No active el servidor VNC quan no siga necessari per al funcionament del SIGC.
- Limite la funcionalitat de la seua interfície home-màquina al mínim imprescindible.
Referències
[1] Several Issues in B&R VC4 Visualization