Un nuevo aviso de SCI y una actualización
Inyección SQL en iView de Advantech
iView Webserver: múltiples productos afectados, se pueden comprobar en el listado completo proporcionado por el fabricante.
Zero Day Initiative ha publicado una vulnerabilidad para iView que ya ha sido corregida por Advantech.
Actualizar iView Webserver a las siguientes versiones:
- Versión 5.7.04.6425;
- Versión 5.7.04.6429;
- Versión 5.7.04.6583;
- Versión 5.7.04.6752;
- Versión 5.7.04.6872.
La vulnerabilidad CVE-2023-52335 existe debido al servletConfigurationServlet que escucha en el puerto 8080 por defecto. El proceso no valida correctamente cuando un usuario proporciona un elemento de tipo texto que se emplea para crear consultas SQL. Un atacante podría explotarlo para poder acceder a credenciales sin autorización y así conseguir comprometer el sistema.
[Actualización 13/06/2024] Múltiples vulnerabilidades en productos Mitsubishi Electric
Todas las versiones de los productos:
- MELSEC-Q Series:
- Q03UDECPU;
- Q04/06/10/13/20/26/50/100UDEHCPU;
- Q03/04/06/13/26UDVCPU;
- Q04/06/13/26UDPVCPU.
- MELSEC-L Series:
- L02/06/26CPU(-P);
- L26CPU-(P)BT.
Anton Dorfman, investigador de Positive Technologies, ha reportado 5 vulnerabilidades críticas que afectan a los módulos MELSEC-Q/L Series CPU de Mitsubishi Electric y cuya explotación podría permitir la divulgación de información o la ejecución remota de código.
El fabricante publicará una versión correctora del firmware afectado en próximas fechas.
Hasta entonces, recomienda aplicar las siguientes medidas de mitigación:
- Configurar un firewall, VPN o similar para impedir el acceso no autorizado cuando se requiere acceso a Internet.
- Hacer uso de los productos potencialmente vulnerables dentro de una red LAN y bloquear el acceso de redes no confiables.
- Restringir el acceso físico al producto afectado, así como a los PC y a los dispositivos de red que puedan comunicarse con él.
- Instalar un antivirus en el PC que tenga acceso a los productos afectados.
[Actualización 13/06/2024]
Actualizar los siguientes productos, a la versión de firmware cuyos primeros 5 dígitos del número de serie sean "26062" o posteriores:
- Q03UDECPU, Q04/06/10/13/20/26/50/100UDEHCPU
- Q03/04/06/13/26UDVCPU
- Q04/06/13/26UDPVCPU
- Un atacante remoto podría leer información arbitraria de un producto vulnerable o ejecutar código malicioso mediante el envío de un paquete malicioso. Se ha asignado el identificador CVE-2024-0802 para esta vulnerabilidad.
- Un atacante remoto podría ejecutar código malicioso en un producto afectado a través del envío de un paquete especialmente diseñado. Se han asignado los identificadores CVE-2024-0803, CVE-2024-1915, CVE-2024-1916, CVE-2024-1917 para estas vulnerabilidades.