Tres nuevos avisos de SCI
Avisos de seguridad de Siemens de diciembre de 2023
- RUGGEDCOM RM1224;
- SCALANCE M-800, MUM-800 y S615;
- SINEC INS;
- SINUMERIK Integrate RunMyHMI/Automotive, MC y ONE;
- POWER METER SICAM Q100;
- SIMATIC PCS neo, PC-Station, STEP 7, CP y S7 CPU;
- SINAMICS S210;
- SIPLUS NET CP 1543-1;
- LOGO! V8.3 BM;
- Opcenter Quality;
- TIA Portal.
Consultar modelos concretos y versiones afectadas en la sección de 'Referencias'.
Siemens ha publicado en su comunicado mensual varias actualizaciones de seguridad de diferentes productos.
Las actualizaciones que corrigen las vulnerabilidades indicadas pueden obtenerse desde el panel de descarga de Siemens. Para los productos sin actualizaciones disponibles es recomendable aplicar las medidas de mitigación descritas en la sección de 'Referencias'.
Siemens, en su comunicado mensual de parches de seguridad, ha emitido un total de 13 nuevos avisos de seguridad, recopilando un total de 437 vulnerabilidades de distintas severidades.
Las vulnerabilidades de severidad crítica identificadas se clasifican de la siguiente manera:
- inyección de código (CVE-2023-44373);
- múltiples CVE críticos recogidos en SSA-398330 (consultar referencias).
El listado completo de identificadores CVE puede consultarse en las referencias.
Múltiples vulnerabilidades en productos de Schneider Electric
- Plant iT/Brewmaxx: v9.60 y posteriores (CVE-2022-0543).
- Trio Q-Series Ethernet Data Radio:
- versiones anteriores a 2.7.0 (CVE-2023-5629);
- todas las versiones (CVE-2023-5630).
- Trio E-Series Ethernet Data Radio:
- todas las versiones de modelos ER45e, EB45e, EH45e (CVE-2023-5629);
- todas las versiones (CVE-2023-5630).
- Trio J-Series Ethernet Data Radio: todas las versiones (CVE-2023-5629, CVE-2023-5630).
Schneider Electric ha notificado 3 vulnerabilidades de severidad media, alta y crítica que podrían permitir una ejecución remota de código.
- Schneider Electric está estableciendo un plan de corrección para todas las futuras versiones de Plant iT que incluirá la corrección de la vulnerabilidad CVE-2022-0543.
- La versión 2.7.0 del firmware de Trio Q-Series Data Radio incluye una corrección para la vulnerabilidad CVE-2023-5629 y está disponible para su descarga. Los clientes sólo deben utilizar navegadores actualizados, para acceder a la página de inicio de sesión de Trio E and Q Series radios (Trio E-Series Ethernet Data Radio ha llegado al final de su vida útil y ya no recibe soporte.) Schneider Electric está estableciendo un plan de corrección para todas las versiones futuras de Trio J-Series Ethernet Data Radio.
- Los productos Trio Data Radios afectados por la vulnerabilidad (CVE-2023-5630) deben instalarse en lugares seguros (ver aviso oficial para más detalle).
La vulnerabilidad crítica afecta a Redis, una base de datos persistente de key-value, debido a un problema de empaquetado y es propensa a un escape del sandbox de Lua (específico de Debian), lo que podría resultar en la ejecución remota de código. Se ha asignado el identificador CVE-2022-0543 para esta vulnerabilidad.
Para la vulnerabilidad de severidad alta se ha asignado el identificador CVE-2023-5629.
Para la vulnerabilidad de severidad media se ha asignado el identificador CVE-2023-5630.
Múltiples vulnerabilidades en productos de Phoenix Contact
Todas las versiones de:
- MULTIPROG
- ProConOS eCLR (SDK)
- Automation Worx Software Suite
- AXC 1050
- AXC 1050 XC
- AXC 3050
- Config+
- FC 350 PCI ETH
- ILC1x0
- ILC1x1
- CIT 3xx
- PCWorx
- PC Worx Express
- PC WORX RT BÁSICO
- PC WORX SRT
- RFC 430 ETH-IB
- RFC 450 ETH-IB
- RFC 460R PN 3TX
- RFC 470S PN 3TX
- RFC 480S PN 4TX
Versiones anteriores a 2024.0:
- AXC F 1152
- AXC F 2152
- AXC F 3152
- BPC9102S
- CPE 1502
- CPE 1522
- Ingeniero PLCnext
- RFC 4072R
- RFC 4072S
CERT@VDE en coordinación con PHOENIX CONTAC y el investigador Reid Wightman en Dragos, Inc. , ha publicado 6 vulnerabilidades, 2 de severidad crítica y 3 de severidad alta que podrían permitir acceso completo al dispositivo afectado o comprometer la integridad de la estación de ingeniería afectada y los dispositivos conectados.
El fabricante recomienda seguir las medidas de mitigación indicadas en los avisos oficiales referenciados al final de este aviso.
Las vulnerabilidades de severidad crítica y alta detectadas son de tipo:
- Asignación de permisos incorrecta para recursos críticos en Phoenix Contact MULTIPROG y Phoenix Contact ProConOS eCLR (SDK) permite a un atacante remoto no autenticado cargar código malicioso arbitrario y obtener acceso completo al dispositivo afectado (CVE-2023-0757, CVE-2023-46141 y CVE-2023-46142).
- Descarga de código sin verificación de integridad en los PLC de la línea clásica de Phoenix Contact permite que un atacante remoto no autenticado modifique algunas o todas las aplicaciones en un PLC (CVE-2023-46144, CVE-2023-5592 y CVE-2023-46143).