Múltiples vulnerabilidades en productos Fuji Electric
Fecha de publicación 28/11/2024
Identificador
INCIBE-2024-0583
Importancia
4 - Alta
Recursos Afectados
- V-SFT versiones 6.2.2.0 y anteriores.
- TELLUS versiones 4.0.19.0 y anteriores.
- TELLUS Lite versiones 4.0.19.0 y anteriores.
- V-Server versiones 4.0.19.0 y anteriores.
- V-Server Lite versiones 4.0.19.0 y anteriores.
Descripción
Michael Heinzl ha reportado 3 vulnerabilidades al JPCERT/CC, junto con otras 17 informadas por kimiya a Trend Micro ZDI, todas ellas con severidad alta, que podrían permitir la ejecución remota de código o la revelación de información en productos de Fuji Electric.
Solución
Actualizar a la última versión publicada por el desarrollador para solucionar las 3 vulnerabilidades reportadas al JPCERT/CC.
Para el resto, al tratarse de 0day reportados a través de ZDI, la única estrategia de mitigación recomendable es restringir la interacción con los productos afectados.
Detalle
- Si un usuario abre un archivo especialmente diseñado, en los productos TELLUS y/o TELLUS Lite o en los módulos V-Server, V-Server Lite y/o V-SFT, podría provocar un desbordamiento de buffer que revelaría información o ejecutaría código. Se ha asignado el identificador CVE-2024-38309 para esta vulnerabilidad.
- Si un usuario abre un archivo especialmente diseñado, en los productos TELLUS y/o TELLUS Lite o en los módulos V-Server, V-Server Lite y/o V-SFT, podría provocar una lectura fuera de rango revelaría información o ejecutaría código. Se han asignado los identificadores CVE-2024-38389 y CVE-2024-38658 para estas vulnerabilidades.
- Debido a la validación incorrecta en los módulos V-SFT, un usuario puede abrir un archivo o visitar una página web maliciosos, lo que podría provocar un desbordamiento de buffer para ejecutar código remoto. Se ha asignado el identificador CVE-2024-11933 para esta vulnerabilidad.
- Un error en el análisis sintáctico de los archivos V8 del componente V-Simulator 5 en Tellius Lite, y de los archivos V8, V8C, V10 de V-SFT que podría provocar un desbordamiento de buffer permitiendo a un atacante remoto ejecutar código si un usuario interactuara con un archivo o una web maliciosos. Se han asignado los identificadores CVE-2024-11802, CVE-2024-11799, CVE-2024-11787, CVE-2024-11789, CVE-2024-11792, CVE-2024-11795 y CVE-2024-11791 para estas vulnerabilidades.
- Un error en el análisis sintáctico de los archivos V8 del componente V-Simulator 5 en Tellius Lite, y de los archivos V8, V9C, V10 y X1de V-SFT que podría provocar una escritura fuera de rango, permitiendo a un atacante remoto ejecutar código si un usuario interactuara con un archivo o una web maliciosos. Se han asignado los identificadores CVE-2024-11800, CVE-2024-11801, CVE-2024-11803, CVE-2024-11793, CVE-2024-11794, CVE-2024-11796, CVE-2024-11797 y CVE-2024-11798 para estas vulnerabilidades.
Listado de referencias
