Dos nuevos avisos de SCI
Consumo de recursos descontrolado en PLCnext Engineer de Phoenix Contact
Versiones de PLCnext Engineer:
- anteriores a 2024.0.4 LTS;
- anteriores a 2024.06.
CERT@VDE, en coordinación con Phoenix Contact ha publicado una vulnerabilidad de severidad alta que afecta a PLCnext Engineer y que de ser explotada podría provocar una denegación de servicio (DoS).
Actualizar PLCnext Engineer a las versiones 2024.0.4 LTS y 2024.06, respectivamente.
PLCnext Engineer emplea funciones de .NET y Visual Studio que son vulnerables a un consumo de recursos descontrolado. De ser explotado, un atacante podría provocar una denegación de servicio comprometiendo la estación de trabajo.
Se ha asignado el identificador CVE-2024-30105 para esta vulnerabilidad.
Múltiples vulnerabilidades en productos Rockwell Automation
Los siguientes productos están afectados por la vulnerabilidad con identificador CVE-2024-9124:
- Drives - PowerFlex 6000T: versiones 8.001, 8.002 y 9.001.
Los siguientes productos están afectados por la vulnerabilidad con identificador CVE-2024-8626:
- Controladores CompactLogix 5380: versiones anteriores a 33.011.
- Controladores Compact GuardLogix 5380: versiones anteriores a 33.011.
- Controladores CompactLogix 5480: versiones anteriores a 33.011.
- Controladores ControlLogix 5580: versiones anteriores a 33.011.
- Controladores GuardLogix 5580: versiones anteriores a 33.011.
- 1756-EN4TR: versión 3.002.
Rockwell Automation ha reportado dos vulnerabilidades de severidad alta, cuya explotación podría permitir a un atacante provocar una denegación de servicio (DoS).
Rockwell Automation recomienda actualizar los productos afectados a las siguientes versiones correctoras:
- Drives - PowerFlex 6000T: versión 10.001.
- Controladores CompactLogix 5380, 5480, 5580, Compact GuardLogix 5380 y GuardLogix 5580: versiones 33.015, 34.011 y posteriores.
- Vulnerabilidad de denegación de servicio (DoS) en PowerFlex 600T, por la cual dejará de estar disponible si está sobrecargado de solicitudes. La explotación de esta vulnerabilidad podría requerir un ciclo de alimentación para recuperarlo si no restablece una conexión después de dejar de recibir solicitudes. Se ha asignado el identificador CVE-2024-9124 para esta vulnerabilidad.
- Debido a una fuga de memoria, existe una vulnerabilidad de denegación de servicio (DoS), cuya explotación podría permitir a un actor malintencionado realizar múltiples acciones en determinadas páginas web del producto, lo que provocaría que los productos afectados dejaran de estar totalmente disponibles y necesitaran un ciclo de alimentación para recuperarse. Se ha asignado el identificador CVE-2024-8626 para esta vulnerabilidad.