Dos nuevos avisos de SCI
Avisos de seguridad de Siemens de agosto de 2024
- SCALANCE
- RUGGEDCOM
- NX
- INTRALOG WMS
- COMOS
- SINEC Traffic Analyzer
- SINEC NMS
- Location Intelligence family
- JT2Go
- Teamcenter Visualization
- LOGO!
- SIPLUS LOGO!
Consultar modelos concretos y versiones afectadas en las referencias.
Siemens ha publicado en su comunicado mensual varias actualizaciones de seguridad de diferentes productos.
Las actualizaciones que corrigen las vulnerabilidades indicadas pueden obtenerse desde el panel de descarga de Siemens. Para los productos sin actualizaciones disponibles es recomendable aplicar las medidas de mitigación descritas en la sección de 'Referencias'.
Siemens, en su comunicado mensual de parches de seguridad, ha emitido un total de 9 nuevos avisos de seguridad, recopilando un total de 50 vulnerabilidades que se desglosan en 1 crítica, 21 altas y el resto medias y bajas. De la cuales se destaca y explica a continuación la vulnerabilidad crítica.
La única vulnerabilidad crítica se ha detectado en SINEC NMS, que no valida correctamente la entrada del usuario en una cola de comandos privilegiada. Esto podría permitir a un atacante autenticado ejecutar comandos del sistema operativo con privilegios elevados. A esta vulnerabilidad se le ha asignado el identificador CVE-2024-41940.
El listado completo de identificadores CVE puede consultarse en las referencias.
Múltiples vulnerabilidades en productos Schneider Electric
- Accutech Manager, versiones 2.8.0.0 y anteriores.
- EcoStruxure Machine SCADA Expert y Pro-face BLUE Open Studio, versiones anteriores a 2020 SP3 HF1.
Tenable Research y Aveva han notificado, respectivamente, 2 vulnerabilidades de severidad alta que afectan a productos de Schneider Electric. La explotación de estas vulnerabilidades podría permitir a un atacante realizar distintas acciones como: agotamiento de recursos, pérdida de disponibilidad del software, escalada de privilegios, ejecución arbitraria de código, divulgación de información o denegación de servicio.
Actualizar los productos afectados a las siguientes versiones:
- Accutech Manager, versión 2.10.0.
- EcoStruxure Machine SCADA Expert, versiones 2023 o 2020 SP3 HF1.
- Pro-face BLUE Open Studio, versiones 2023 o 2020 SP3 HF1.
- Una vulnerabilidad de desbordamiento de búfer podría causar el fallo de Accutech Manager al recibir una petición especialmente diseñada a través del puerto 2536/TCP. Se ha asignado el identificador CVE-2024-6918 para esta vulnerabilidad.
- Vulnerabilidad publicada por Aveva que afecta a varios componentes empleados por productos de Schneider Electric, más detalles en las referencias. Se ha asignado el identificador CVE-2023-6132 para esta vulnerabilidad.