Múltiples vulnerabilidades en R-SeeNet de Advantech

Fecha de publicación 23/11/2021

Importancia

4 - Alta

Recursos Afectados

Advantech R-SeeNet, versión 2.4.15 (30/07/2021).

Descripción

El investigador, Yuri Kramarz, de Cisco Talos, ha reportado veintiséis vulnerabilidades de severidad alta que podrían permitir a un atacante realizar una escalada de privilegios o una inyección SQL.

Solución

Actualizar a una versión posterior de la 2.4.15 (30/07/2021).

Detalle

Una asignación incorrecta de permisos por defecto en la versión de instalación en Windows parar el producto afectado, podría permitir a un atacante realizar una escalada de privilegios hasta el nivel de NT SYSTEM, reemplazando un archivo por otro manipulado. Se han asignado los identificadores CVE-2021-21910, CVE-2021-21911 y CVE-2021-21912 para esta vulnerabilidad.
Múltiples vulnerabilidades de tipo inyección SQL existen en la página ‘device_list’ del producto afectado, que podrían ser explotadas por un atacante, autenticado o no, mediante peticiones HTTP. Para estas vulnerabilidades se han asignado los siguientes identificadores: CVE-2021-21924, CVE-2021-21925, CVE-21926, CVE-2021-21927, CVE-2021-21928, CVE-2021-21929, CVE-2021-21930, CVE-2021-21931, CVE-2021- 21932, CVE-2021-21933, CVE-2021-21934, CVE-2021-21935, CVE-2021-21936, CVE-2021-21937, CVE-2021-21920,CVE-2021-21921, CVE-2021-21922, CVE-2021-21923, CVE-2021-21915, CVE-2021-21916, CVE-2021-21917, CVE-2021-21918 y CVE-2021-21919.