Inyección de código en productos de Wago
- Versiones wago_os_linux 3.10.10 y anteriores:
- 0750-810-xxxx-xxxx;
- 750-820x-xxxx-xxxx.
- Versiones wago_os_linux 4.5.10 y anteriores:
- 0750-811x-xxxx-xxxx;
- 0751-9x01;
- 0752-8303-8000-0002;
- 0762-340x;
- 0762-420x-8000-000x;
- 0762-430x-8000-000x;
- 0762-520x-8000-000x;
- 0762-530x-8000-000x;
- 0762-620x-8000-000x;
- 0762-630x-8000-000x;
- 750-821x-xxxx-xxxx.
CERT@VDE en colaboración con WAGO GmbH & Co. ha publicado una vulnerabilidad de severidad alta que, en caso de ser explotada, permitiría a un atacante autenticado con muchos privilegios ejecutar comandos de shell arbitrarios en el dispositivo afectado.
El usuario puede desactivar los privilegios de OpenVPN. El procedimiento para hacerlo se describe en el manual "Ciberseguridad para el controlador PFC100 / PFC200", sección 7.1.4, y en el manual del producto.
CVE-2024-1490: vulnerabilidad de seguridad en la función de administración basada en web (WBM) cuando OpenVPN está habilitado. Un atacante autenticado con muchos privilegios podría ejecutar comandos de shell arbitrarios en el dispositivo afectado, lo que podría provocar una vulneración total del sistema.
| Identificador CVE | Severidad | Explotación | Fabricante |
|---|---|---|---|
| CVE-2024-1490 | Alta | No | Wago |
