Dos nuevos avisos de SCI
Avisos de seguridad de Siemens de junio de 2023
- Totally Integrated Automation Portal (TIA Portal): V14, V15, V15.1, V16, V17, V18.
- SIMOTION versiones anteriores a V5.5 SP1 de:
- C240 (6AU1240-1AA00-0AA0),
- C240 PN (6AU1240-1AB00-0AA0),
- D410-2 DP (6AU1410-2AA00-0AA0),
- 2 DP/PN (6AU1410-2AD00-0AA0),
- D425-2 DP (6AU1425-2AA00-0AA0),
- D425-2 DP/PN (6AU1425-2AD00-0AA0),
- D435-2 DP (6AU1435-2AA00-0AA0),
- D435-2 DP/PN (6AU1435-2AD00-0AA0),
- D445-2 DP/PN (6AU1445-2AD00-0AA0),
- D445-2 DP/PN (6AU1445-2AD00-0AA1),
- D455-2 DP/PN (6AU1455-2AD00-0AA0),
- P320-4 E (6AU1320-4DE65-3AF0),
- P320-4 S (6AU1320-4DS66-3AG0).
- SIMATIC:
- NET PC Software V14 y V15,
- PCS 7 V8.2, V9.0, V9.1,
- WinCC: versiones anteriores a V8.0,
- SINAUT Software ST7sc.
- SIMATIC Process Historian 2020 OPC UA Server.
- SIMATIC S7-1500 TM MFP - Linux Kernel, BIOS.
- SIMATIC PCS 7, S7-PM y STEP 7 V5.
- SINAMICS GL150, PERFECT HARMONY GH180 6SR5 y SL150.
- TeleControl Server Basic V3.
- POWER METER SICAM Q200: versiones anteriores a V2.70.
- Solid Edge SE2023: versiones anteriores a V223.0.
Siemens ha publicado en su comunicado mensual varias actualizaciones de seguridad de diferentes productos.
Las actualizaciones que corrigen las vulnerabilidades indicadas pueden obtenerse desde el panel de descarga de Siemens. Para los productos sin actualizaciones disponibles es recomendable aplicar las medidas de mitigación descritas en la sección de 'Referencias'.
Siemens, en su comunicado mensual de parches de seguridad, ha emitido un total de 12 nuevos avisos de seguridad, recopilando un total de 204 vulnerabilidades de distintas severidades.
Las vulnerabilidades de severidad crítica identificadas se clasifican de la siguiente manera:
- neutralización indebida de elementos especiales utilizados en un comando OS (CVE-2022-1292, CVE-2022-2068, CVE-2022-1292),
- escritura fuera de límites (CVE-2022-2274),
- uso después de memoria liberada (CVE-2021-33574),
- desbordamiento de enteros (CVE-2021-35942),
- copia del búfer sin comprobar el tamaño de la entrada (CVE-2022-23218, CVE-2022-23219),
- validación incorrecta de las entradas (CVE-2022-43439, CVE-2022-43545, CVE-2022-43546),
- autenticación inapropiada (CVE-2022-0547),
- permisos por defecto incorrectos (CVE-2022-32207),
- control inadecuado de la generación de código (CVE-2023-25910).
El listado completo de identificadores CVE puede consultarse en las referencias.
Múltiples vulnerabilidades en productos de Schneider Electric
- Afectado únicamente por CVE-2023-3001:
- IGSS Dashboard, versiones 16.0.0.23130 y anteriores.
- Afectado por CVE-2023-2569 y CVE-2023-2570:
- EcoStruxureTM Foxboro DCS Control Core Services, todas las versiones anteriores al parche HF9857795.
- Afectados por CVE-2023-1049:
- Pro-face BLUE, versiones 3.3 SP1 y anteriores;
- EcoStruxure™ Operator Terminal Expert, versiones 3.3 SP1 y anteriores.
Diversos investigadores han reportado a Schneider Electric 4 vulnerabilidades de severidad alta, cuya explotación podría permitir a un atacante ejecutar código no autorizado, provocar una pérdida de control del sistema SCADA, ejecutar una denegación de servicios o una escalada de privilegios.
Schneider Electric ha lanzado distintos parches para solucionar las vulnerabilidades descritas:
- IGSS Dashboard: actualizar al a versión 16.0.0.23131;
- EcoStruxureTM Foxboro DCS Control Core Services: aplicar el parche HF9857795;
- Pro-face BLUE: actualizar a la versión 3.4;
- EcoStruxure™ Operator Terminal Expert: actualizar a la versión 3.4.
La vulnerabilidad en el módulo Dashboard podría causar una interpretación de datos maliciosos de carga útil, permitiendo, en última instancia, una ejecución remota de código, siempre y cuando el atacante consiga que el usuario abra un archivo malicioso. Se ha asignado el identificador CVE-2023-3001 para esta vulnerabilidad.
Existe dos vulnerabilidad que podrían causar una condición de denegación de servicio, así como una ejecución en el kernel cuando un atacante malicioso con acceso local cree un script utilizando una llama IOCTL en el controlador Foxboro.sys. Se han asignado los identificadores CVE-2023-2569 y CVE-2023-2570 para estas vulnerabilidades.
La vulnerabilidad de inyección de código podría permitir a un actor malicioso ejecutar código cuando un usuario cargue un archivo de proyecto desde el sistema de archivos local en el HMI. Se ha asignado el identificador CVE-2023-1049 para esta vulnerabilidad.