Múltiples vulnerabilidades en productos de Rockwell Automation
Fecha de publicación 12/05/2023
Identificador
INCIBE-2023-0166
Importancia
5 - Crítica
Recursos Afectados
- Dispositivos Kinetix 5500 fabricados entre mayo de 2022 y enero de 2023: versión 7.13.
- Software de simulación Arena: v16.20.01.
- PanelView 800-2711R-T4T, 800-2711R-T7T, 800-2711R-T10T: Versiones desde la 5.011 a la 8.01.
- ThinManager: Versiones 13.0 a 13.0.1.
Descripción
Rockwell Automation y Simon Janz de Zero Day Initiative, de Trend Micro, han informado a CISA que existen 7 vulnerabilidades. 3 de severidad crítica y 4 de severidad alta, que podrían crear una condición de denegación de servicio, permitir que un usuario malintencionado cometa código arbitrario no autorizado en el software mediante un desbordamiento del búfer de memoria, permitir la ejecución remota de código o a un atacante un acceso no autorizado a la información.
Solución
- Para dispositivos Kinetix 5500: actualizar el firmware a la versión 7.14 o posterior.
- Para el software de simulación Arena: actualizar el software del producto afectado a 16.20.01.
- Para los productos PanelView afectados:
- Para ThinManager: actualizar a la versión a v13.0.2.
Detalle
Las vulnerabilidades de severidad crítica detectadas se corresponden con lo siguientes tipos:
- control de acceso inadecuado (CVE-2023-1834),
- escritura fuera de los límites (CVE-2020-36177),
- lectura fuera de los limites (CVE-2019-16748),
Para el resto de vulnerabilidades de severidad alta se han asignado los siguientes identificadores: CVE-2023-29460, CVE-2023-29461, CVE-2023-29462 y CVE-2023-2443.
Listado de referencias
