Múltiples vulnerabilidades en productos de Codesys

Fecha de publicación
05/12/2023
Importancia
5 - Crítica
Recursos Afectados
  • CODESYS V2:
    • CODESYS Development System V2.3 a partir de la versión 2.3.9.45;
    • CODESYS SP Realtime NT a partir de la versión V2.3.7.25.
  • CODESYS V3: los siguientes productos están afectados en todas las versiones anteriores a la 3.5.19.30:
    • CODESYS Control RTE (SL);
    • CODESYS Control RTE (for Beckhoff CX) SL;
    • CODESYS Control Win (SL);
    • CODESYS HMI (SL);
    • CODESYS Development System;
    • CODESYS OPC DA Server SL.
  • Los siguientes productos están afectados en todas las versiones anteriores a 4.10.0.0:
    • CODESYS Control para Linux ARM SL;
    • CODESYS Control para Linux SL.
  • Los CODESYS Runtime Toolkits (V2 y V3) no incluyen el WIBU CodeMeter Runtime.
  • Los siguientes productos están afectados en todas las versiones anteriores a la 3.5.19.50 si se utilizan en un sistema operativo Linux o QNX:
    • CODESYS Runtime Toolkit.
  • Los siguientes productos están afectados en todas las versiones anteriores a 4.11.0.0:
    • CODESYS Control para BeagleBone SL;
    • CODESYS Control para emPC-A/iMX6 SL;
    • CODESYS Control para IOT2000 SL;
    • CODESYS Control para Linux ARM SL;
    • CODESYS Control para Linux SL;
    • CODESYS Control para PFC100 SL;
    • CODESYS Control para PFC200 SL;
    • CODESYS Control para PLCnext SL;
    • CODESYS Control para Raspberry Pi SL;
    • CODESYS Control para WAGO Touch Panels 600 SL.
Descripción

CODESYS, en coordinación con CERT@VDE, han publicado 2 vulnerabilidades de severidad crítica y alta, que podrían permitir a un ataque remoto no autenticado obtener acceso completo al sistema host o inyectar llamadas a funciones adicionales de shell.

Solución
  • Actualizar los siguientes productos a la versión 3.5.19.30.
    • CODESYS Control RTE (SL);
    • CODESYS Control RTE (para Beckhoff CX) SL;
    • CODESYS Control Win (SL);
    • CODESYS HMI (SL);
    • CODESYS Development System;
    • CODESYS OPC DA Server SL;
    • CODESYS Runtime Toolkit.
  • Actualizar los siguientes productos a la versión 4.10.0.0.
    • CODESYS Control para Linux ARM SL;
    • CODESYS Control para Linux SL;
    • CODESYS Control para BeagleBone SL;
    • CODESYS Control para emPC-A/iMX6 SL;
    • CODESYS Control para IOT2000 SL;
    • CODESYS Control para Linux ARM SL;
    • CODESYS Control para Linux SL;
    • CODESYS Control para PFC100 SL;
    • CODESYS Control para PFC200 SL;
    • CODESYS Control para PLCnext SL;
    • CODESYS Control para Raspberry Pi SL;
    • CODESYS Control para WAGO Touch Panels 600 SL.
Detalle

La vulnerabilidad de severidad crítica es de tipo escritura fuera de límites y afecta al desbordamiento de búfer en el servicio de red Wibu CodeMeter Runtime. Su explotación podría permitir que un atacante remoto, no autenticado, alcance RCE y obtenga acceso completo al sistema host. Se ha asignado el identificador CVE-2023-3935 para esta vulnerabilidad.

Para la vulnerabilidad de severidad alta se ha asignado el identificador CVE-2023-6357.

Go top