Múltiples vulnerabilidades en Ovation OCR400 Controller de Emerson

Fecha de publicación 29/05/2019

Importancia

3 - Media

Recursos Afectados

Ovation OCR400 Controller, ejecutando Ovation versión 3.3.1 o anteriores.

Descripción

VDLab, una colaboración entre Venustech y Dongfang Electric Corporation (DEC), han reportado estas vulnerabilidades de tipo desbordamiento de búfer. La ejecución exitosa de estas vulnerabilidades, por parte de un atacante remoto, podría permitir la ejecución de código remoto o una escalada de privilegios en el sistema afectado.

Solución

Emerson, recomienda actualizar los dispositivos afectados a la última versión disponible. En el caso contrario, consultad la sección "Referencias" para más información.

Detalle

Una vulnerabilidad se debe a una gestión incorrecta por parte del comando LIST en el servicio FTP cuando recibe un nombre de archivo largo. Un atacante remoto podría realizar una sobreescritura de búfers que ocasionaría una ejecución de código y una escalada de privilegios. Se ha asignado el identificador CVE-2019-10967 para esta vulnerabilidad.
Una vulnerabilidad de desbordamiento de búfer basado en memoria dinámica (heap), se debe a una gestión incorrecta en el servicio FTP cuando recibe un comando largo. Un atacante remoto podría realizar una corrupción de memoria que interrumpiría al controlador, una ejecución de código o una escalada de privilegios. Se ha asignado el identificador CVE-2019-10965 para esta vulnerabilidad.