Múltiples vulnerabilidades en varios productos de B&R Industrial Automation
Fecha de publicación 30/09/2020
Importancia
4 - Alta
Recursos Afectados
- SiteManager, todas las versiones anteriores a 9.2.620236042;
- GateManager 4260 y 9250, todas las versiones anteriores a 9.0.20262;
- GateManager 8250, todas las versiones anteriores a 9.2.620236042.
Descripción
Nikolay Sokolik y Hay Mizrachi han reportado 6 vulnerabilidades, 2 con severidad alta y 4 medias, de tipo limitación inadecuada de una ruta de acceso a un directorio restringido (path transversal), consumo de recursos descontrolado, exposición de información y autenticación inadecuada.
Solución
B&R Industrial Automation informa que las vulnerabilidades se han solucionado en las siguientes versiones:
- SiteManager: 9.2.620236042;
- GateManager 4260 y 9250: 9.0.20262;
- GateManager 8250: 9.2.620236042.
Detalle
- Un atacante autenticado podría leer la configuración del servicio y otra información confidencial, utilizándola para actividades maliciosas en instancias de SiteManager. Se ha asignado el identificador CVE-2020-11641 para esta vulnerabilidad.
- Un atacante autenticado podría desencadenar un reinicio constante de instancias de SiteManager, lo que limitaría su disponibilidad. Se ha asignado el identificador CVE-2020-11642 para esta vulnerabilidad.
- Un atacante autenticado podría recopilar información sobre dispositivos que pertenecen a una organización extranjera y hacer uso de esta información para actividades maliciosas. Se ha asignado el identificador CVE-2020-11643 para esta vulnerabilidad.
- Un atacante autenticado podría engañar a los usuarios de dominios extranjeros con mensajes o alertas de auditoría falsos. Se ha asignado el identificador CVE-2020-11644 para esta vulnerabilidad.
- Un atacante autenticado podría activar repetidamente un reinicio de las instancias de GateManager, lo que limitaría su disponibilidad. Se ha asignado el identificador CVE-2020-11645 para esta vulnerabilidad.
- Un atacante autenticado podría obtener información sobre todos los dispositivos que pertenecen a su dominio y usar esa información para actividades maliciosas. Se ha asignado el identificador CVE-2020-11646 para esta vulnerabilidad.
Listado de referencias
Etiquetas