Múltiples vulnerabilidades en productos de Auto-Maskin
Fecha de publicación 08/10/2018
Importancia
4 - Alta
Recursos Afectados
- Paneles remotos Auto-Maskin RP 210E, [Actualización 21/02/2020] versiones 3.7 y anteriores;
- Unidades de control DCU 210E, [Actualización 21/02/2020] versiones 3.7 y anteriores;
- Aplicación de monitorización Marine Pro Observer para dispositivos móviles.
Descripción
Los investigadores Brian Satira y Brian Olson han reportado varias vulnerabilidades de tipo contraseña embebida, validación incorrecta de comunicaciones y transmisión de datos sensibles en texto plano, que podrían ser aprovechadas de manera remota por un potencial atacante que podría llegar a acceder a las unidades y a los motores que están conectados en red y obtener información sensible que se transmita por la misma.
Solución
Como medida preventiva se aconseja aislar los dispositivos afectados de tal forma que sólo sean accesibles desde redes privadas que hayan sido aseguradas.
[Actualización 21/02/2020] Auto-Maskin ha publicado nuevas versiones de firmware para solucionar estas vulnerabilidades.
Detalle
- Contraseñas embebidas: El firmware del dispositivo DCU 210E contiene un servidor dropbear SSH no documentado que posee credenciales embebidas. Además, la contraseña es susceptible a ser crackeada con facilidad. Se ha asignado el identificador CVE–2018-5399 para esta vulnerabilidad.
- Validación incorrecta de comunicaciones: Los productos Auto-Maskin utilizan un protocolo personalizado no documentado para configurar comunicaciones Modbus con otros dispositivos sin realizar una validación de los mismos. Se ha asignado el identificador CVE–2018-5400 para esta vulnerabilidad.
- Transmisión de información sensible en texto plano: Los dispositivos afectados transmiten información sensible del proceso mediante comunicaciones Modbus sin cifrar. Se ha asignado el identificador CVE–2018-5401 para esta vulnerabilidad.
- Transmisión de información sensible en texto plano: El servidor web embebido utiliza comunicaciones en texto plano para transmitir el PIN del administrador. Se ha asignado el identificador CVE–2018-5402 para esta vulnerabilidad.
- [Actualización 21/02/2020] Mecanismo débil de recuperación de contraseñas: El software presenta un mecanismo débil de recuperación de contraseñas olvidadas. Se ha asignado el identificador CVE-2019-6560 para esta vulnerabilidad.
- [Actualización 21/02/2020] Requisitos de contraseñas débiles: El producto contiene múltiples requisitos de contraseñas débiles, lo que facilita a los atacantes comprometer las cuentas de los usuarios. Se ha asignado el identificador CVE-2019-6558 para esta vulnerabilidad.
Listado de referencias
Etiquetas