Tres nuevos avisos de SCI
Índice
- Múltiples vulnerabilidades en LabVIEW de National Instruments
- Uso de credenciales por defecto en Network Master Clock de MOBATIME
- Múltiples vulnerabilidades en Cscape de Horner Automation
Múltiples vulnerabilidades en LabVIEW de National Instruments
- LabVIEW 2024: versiones Q3 (24.3f0) y anteriores;
- LabVIEW 2023: todas las versiones;
- LabVIEW 2022: todas las versiones;
- LabVIEW 2021 y anteriores: se encuentra en el final de su vida (EoL), todas las versiones están afectadas.
Michael Heinzl ha reportado 3 vulnerabilidades de severidad alta que afectan a National Instruments LabVIEW y que de ser explotadas podrían provocar la fuga de información o ejecutar código.
Actualizar LabVIEW a las versiones:
- LabVIEW 2024: Q3 Patch 2 o posterior desde NI Package Manager;
- LabVIEW 2023: Q3 Patch 5 o posterior desde NI Package Manager;
- LabVIEW 2022: Q3 Patch 4 o posterior desde NI Package Manager.
Las versiones de LabVIEW 2021 y anteriores no tienen soporte.
Existen vulnerabilidades de lectura fuera de límites en las funciones HeapObjMaplmpl y BuildFontMap o cuando se carga la tabla de fuentes, que podrían permitir a un atacante revelar información o ejecutar código.
Se han asignado los identificadores CVE-2024-10494, CVE-2024-10495 y CVE-2024-10496 para estas vulnerabilidades.
Uso de credenciales por defecto en Network Master Clock de MOBATIME
Network Master Clock - DTS 4801: versión del firmware 00020419.01.02020154.
Mate Csorba y Zoltan Kato, de DNV, han informado de una vulnerabilidad de severidad crítica que afecta a Network Master Clock, cuya explotación podría permitir a un atacante tomar el control del sistema operativo.
Actualizar a la última versión disponible del firmware desde la página de MOBATIME.
La vulnerabilidad, de severidad crítica, es de tipo uso de credenciales por defecto. Su explotación podría permitir a los atacantes utilizar SSH para obtener acceso inicial al sistema operativo usando credenciales predeterminadas. Se ha asignado el identificador CVE-2024-12286 para esta vulnerabilidad.
Múltiples vulnerabilidades en Cscape de Horner Automation
Cscape: versiones 10.0.363.1 y anteriores.
Michael Heinzl ha informado de dos vulnerabilidades de severidad alta que afectan a Cscape y que podrían permitir a un atacante revelar información y ejecutar código arbitrario.
Horner Automation recomienda a los usuarios actualizar a Cscape v10 SP1 o posterior.
Las vulnerabilidades identificadas son de tipo lectura fuera de los límites y podrían permitir a un atacante revelar información y ejecutar código arbitrario o la lectura más allá del final de las estructuras de datos asignadas, lo que también daría como resultado la ejecución de código arbitrario.
Se han asignado los identificadores CVE-2024-9508 y CVE-2024-12212. para estas vulnerabilidades.