Vulnerabilidad de denegación de servicio en KEPServerEX de PTC
KEPServerEX: Versiones 6.0 a 6.14.263.
El equipo de Claroty Team82 informó de una vulnerabilidad en KEPServerEX, un concentrador de datos de automatización industrial del fabricante PTC, que podría causar una denegación de servicio por un consumo de recursos descontrolado.
PTC informa que el vector de ataque aprovechado durante la investigación involucró a un cliente OPC UA no autenticado. Los controles estándar disponibles en el producto y descritos en la guía de implementación segura son suficientes para mitigar esta vulnerabilidad.
La vulnerabilidad conocida se produce por la lectura de un objeto definido recursivamente, que conduce a un consumo de recursos descontrolado. Se implementa una verificación, para ver si dicho objeto se define de forma recursiva, por lo que un atacante podría enviar un mensaje creado con fines maliciosos, que el decodificador intentaría decodificar, causando una denegación de servicio por consumo de recursos haciendo que el dispositivo falle. Se ha asignado el identificador CVE-2023-3825 para esta vulnerabilidad.
