Múltiples vulnerabilidades en productos de Schneider Electric
- Todas las versiones de PowerSuite2 (VW3A8104 & Patches).
- IIoT Monitor, versión 3.1.38 y anteriores.
- Pro-Face GP-Pro EX, versión 4.08 y anteriores.
- EVLink Parking, versión 3.2.0-12_v1 y anteriores.
- Todas las versiones de Foxboro DCS y Foxboro Evo.
- IA Series en versiones anteriores a Foxboro DCS Control Core Service 9.4
- FoxView versión 10.5
Los investigadores Vahagn Vardanyan, Rgo (Zero Day Initiative), Yu Quiang (ADLab de Venustech) y Vladimir Kononovich, Vyacheslav Moskvin e Ilya Karpov (Positive Technologies), en colaboración con Schneider Electric, han reportado varias vulnerabilidades de tipo desbordamiento de búfer, gestión inadecuada de directorios restringidos, restricción incorrecta de XML, carga de archivos errónea, validación incorrecta de entrada, inyección SQL, administración inadecuada de credenciales e inyección de código, que podrían permitir a un atacante ejecutar código malicioso, obtener accesos sin permiso a los dispositivos, divulgar y modificar de forma no autorizada las contraseñas o acceder a archivos.
- Para la vulnerabilidad en PowerSuite 2, Schneider recomienda:
- Para los modelos ATV11, ATV28, ATV38, ATV58, ATV58F o Lexium05: conectar el ordenador detrás de un cortafuegos que impida cualquier conexión remota en el puerto 27698.
- Para el resto de modelos, seguir las instrucciones del punto 2 de la sección Remediation.
- Para las vulnerabilidades en IIoT Monitor: contactar con el centro de atención al cliente de Schneider Electric.
- Para la vulnerabilidad en Pro-Face GP-Pro EX: descargar la versión 4.08.200
- Para las vulnerabilidades en EVLink Parking: descargar el fix.
- Para la vulnerabilidad FoxView HMI SCADA: actualizar Foxboro DCS Control Core Service 9.4 y Foxview 10.5 a versiones superiores.
Un atacante podría aprovechar alguna de las vulnerabilidades para tomar el control del dispositivo o provocar un funcionamiento erróneo del mismo:
- Desbordamiento de búfer.
- Gestión inadecuada de directorios restringidos (path traversal).
- Carga de archivos inadecuada.
- Restricción inadecuada de XML.
- Validación incorrecta de entradas.
- Inyección de código.
- Inyección SQL.
- Administración inadecuada de credenciales.
[Actualización 16/01/2019]
- Problemas criptográficos.
- XXE (XML External Entity).
[Actualización 01/02/2019]
- Utilización de contraseñas hardcodeadas.
Se han asignado los identificadores CVE-2018-7796, CVE-2018-7835, CVE-2018-7836, CVE-2018-7837, CVE-2018-7832, CVE-2018-7800, CVE-2018-7801, CVE-2018-7802, [Actualización 16/01/2019] CVE-2018-7839 y CVE-2018-7793 para estas vulnerabilidades.
