Avisos de seguridad de Siemens de febrero de 2024

Fecha de publicación 13/02/2024

Importancia

5 - Crítica

Recursos Afectados

Simcenter Femap
SIMATIC
SIPLUS NET CP
Unicam FX
Location Intelligence Perpetual
RUGGEDCOM APE
SIMATIC RTLS Gateway
SCALANCE
OpenPCS
Parasolid
SINEC NMS
Polarion ALM
SIDIS Prime
Tecnomatix Plant Simulation

Consultar modelos concretos y versiones afectadas en la sección de 'Referencias'.

Descripción

Siemens ha publicado en su comunicado mensual varias actualizaciones de seguridad de diferentes productos.

Solución

Las actualizaciones que corrigen las vulnerabilidades indicadas pueden obtenerse desde el panel de descarga de Siemens. Para los productos sin actualizaciones disponibles es recomendable aplicar las medidas de mitigación descritas en la sección de 'Referencias'.

Detalle

Siemens, en su comunicado mensual de parches de seguridad, ha emitido un total de 15 nuevos avisos de seguridad, recopilando un total de 278 vulnerabilidades de distintas severidades.

Las vulnerabilidades de severidad crítica identificadas se clasifican de la siguiente manera:

uso de credenciales codificadas (CVE-2024-23816);
neutralización inadecuada de elementos especiales en la salida utilizados por un componente posterior ("Inyección") (CVE-2023-44373 y CVE-2023-29405);
copia del búfer sin comprobar el tamaño de la entrada ('Desbordamiento del búfer clásico') (CVE-2023-45614, CVE-2023-45615 y CVE-2023-45616);
desbordamiento o envoltura de enteros (CVE-2022-3515, CVE-2022-23521, CVE-2022-37454, CVE-2022-41903 y CVE-2022-47629);
llamada repetida a la función free() en la misma dirección de memoria double free (CVE-2022-28738);
desviación de puntero NULL (CVE-2022-36227);
interpretación incoherente de las solicitudes HTTP (CVE-2022-36760, CVE-2023-25690 y CVE-2023-25690);
lectura fuera de límites (CVE-2022-46393);
control inadecuado de la generación de código (CVE-2023-24538, CVE-2023-29402 y CVE-2023-29404);
falta la encriptación de datos sensibles (CVE-2023-32002);
acceso al recurso utilizando un tipo incompatible (CVE-2023-38199);
neutralización incorrecta de elementos especiales utilizados en un
comando SQL (CVE-2024-23810);
carga sin restricciones de archivos de tipo peligroso (CVE-2024-23811)
neutralización adecuada de los elementos especiales utilizados en un comando OS (CVE-2024-23812).