2022] Múltiples vulnerabilidades en Local Run Manager (LRM) de Illumina

Fecha de publicación 03/06/2022

Importancia

5 - Crítica

Recursos Afectados

Software LRM utilizado en los productos:

Dispositivos Illumina In Vitro Diagnostic (IVD), versiones LRM desde la 1.3 hasta la 3.1:
- NextSeq 550Dx,
- MiSeq Dx.
Researcher Use Only (ROU), versiones LRM desde la 1.3 hasta la 3.1:
- NextSeq 500 Instrument,
- NextSeq 550 Instrument,
- MiSeq Instrument,
- iSeq 100 Instrument,
- MiniSeq Instrument.

Descripción

Pentest, Ltd. (pentest.co.uk) reportó 5 vulnerabilidades a Illumina, que a su vez ha reportado al CISA, que podrían permitir a un atacante, no autenticado, tomar el control del producto afectado de forma remota y realizar cualquier acción a nivel del sistema operativo, como afectar a los ajustes, las configuraciones, el software o los datos e interactuar con la red conectada.

Solución

Para los productos conectados a Internet, aplicar las últimas actualizaciones;
para los productos no conectados a Internet, contactar con el soporte técnico (anonym@incibe.es) para recibir instrucciones de instalación de las actualizaciones.

[Actualización 24/08/2022] Illumnia ha publicado los siguientes hashes para Local Run Manager en su último parche de software:

Filename: LocalRunManagerSecurityPatch.msi

SHA-512: 52b5cfdc462b10011027e94f184c2f0da25b0b1363fddb7fa5793938d11f976259a7f73e77c2fd157f560439ec3df70446aa561b586dc8ef94db2ed95fcce841;
SHA-256: 595b724f1c5b4bac446001400b38b748b4ef05520b5489ea4711a2a4289e721a;
SHA-1: 25e523031b3bd818d4bba1017c534c735f650e23;
MD5: 4552a1130947b95ac18be4335c1447f5.

Detalle

LRM utiliza privilegios elevados, lo que podría permitir a un atacante, no autenticado, cargar y ejecutar código de forma remota a nivel del sistema operativo, para cambiar los ajustes, configuraciones, software o acceder a datos sensibles en el producto afectado. También podría acceder a APIs no destinadas al uso general e interactuar a través de la red. Se ha asignado el identificador CVE-2022-1517 para esta vulnerabilidad.
Una vulnerabilidad de cambio de directorios en LRM podría permitir a un atacante realizar cargas fuera de la estructura de directorios prevista. Se ha asignado el identificador CVE-2022-1518 para esta vulnerabilidad.
LRM no restringe los tipos de archivos que se pueden cargar en el producto afectado, lo que podría permitir a un atacante subir cualquier tipo de archivo, incluido un código ejecutable que permita un exploit de código remoto. Se ha asignado el identificador CVE-2022-1518 para esta vulnerabilidad.
LRM no implementa la autenticación ni la autorización por defecto, lo que podría permitir a un atacante inyectar, reproducir, modificar y/o interceptar datos sensibles. Se ha asignado el identificador CVE-2022-1521 para esta vulnerabilidad.

Para la vulnerabilidad de severidad alta se ha asignado el identificador CVE-2022-1521.