Vulnerabilidades en Expat (libexpat) de productos Yokogawa
INCIBE-2023-0452
Network Switch for Vnet/IP en versiones de software 09.1.07 o anteriores:
- GRVSW-663FA;
- GRVSW-664FA;
- GRVSW-665FA;
- GRVSW-666FA;
- GRVSW-667FA;
- GRVSW-668FA;
- GRVSW-669FA;
- GRVSW-670FA;
- GRVSW-671FA;
- GRVSW-672FA;
- GRVSW-673FA;
- GRVSW-660FA;
- GRVSW-661FA;
- GRVSW-662FA.
Se han encontrado productos de Yokogawa afectados por 2 vulnerabilidades de severidad alta en la librería del analizador XML "Expat (libexpat)". Su explotación podría permitir a un atacante evaluar una denegación de servicio o una ejecución de código potencialmente arbitraria.
Actualizar a la versión 09.1.08 o posterior.
La vulnerabilidad CVE-2022-43680 solo puede ocurrir bajo condiciones especiales (falta de memoria), por lo que no es posible explotarla en todos los sistemas que tengan instalado 'Expat'.
Si se explota la vulnerabilidad CVE-2022-40674, es posible crear una situación en la que el análisis se suspende mientras se sustituye una entidad interna, de modo que 'XML_ResumeParser' utilice directamente 'internalEntityProcessor' como su procesador. El uso de esta vulnerabilidad en la función 'doContent', permite a un atacante provocar una denegación de servicio o una ejecución de código potencialmente arbitraria.
