Dos nuevos avisos de SCI
[Actualización 03/08/2023] Vulnerabilidad en dispositivos de la serie CNC de Mitsubishi Electric
[Actualización 03/08/2023]
Todas las versiones de:
Serie M800V / M80V
- M800VW
- M800VS
- M80V
- M80VW
Serie M800/ M80/ E80
- M800W
- M800S
- M80
- M80W
- E80
C80
- C80
M700V/ M70 / E70
- M750VW
- M730VW/M720VW
- M750VS
- M730VS
- M720VS
- M750VS 15-type
- M730VS/M720VS 15-type
- M70V
- E70
IOT: Unidad Gateway de servicio remoto.
IOT: Unidad de Adquisición de Datos.
Investigadores de Zhejiang Qian Information & Technology informaron de una vulnerabilidad en dispositivos de la serie CNC de Mitsubishi Electric, que podría causar una condición de denegación de servicio y ejecutar código malicioso.
Mitsubishi Electric recomienda a los clientes aplicar las siguientes mitigaciones:
- Utilizar un cortafuegos o una red privada virtual (VPN) y evitar accesos no autorizados desde redes no confiables como Internet.
- Instalar el software antivirus en los equipos que accedan a los dispositivos.
- Limitar acceso físico al producto afectado y a la red local a la que está conectado el dispositivo
La vulnerabilidad detectada podría permitir a un atacante causar una condición de denegación de servicio y ejecutar código malicioso mediante el envío de paquetes especialmente diseñados, debido a un desbordamiento de búfer clásico. Se ha asignado el identificador CVE-2023-3346 para esta vulnerabilidad.
Múltiples vulnerabilidades en productos Sprecher
SPRECON-V460.
Sprecher Automation ha informado de vulnerabilidades en la plataforma de software SPRECON-V460 que afectan los servicios IIoT en Windows (anteriormente Service Grid) y Service Engine en Windows. Estas vulnerabilidades podrían permitir ejecutar código arbitrario en un contexto elevado.
La próxima versión SPRECON-V460 12 soluciona estas vulnerabilidades, para la versión SPRECON-V460 11 hay disponibles archivos MSI actualizados, pero se requiere una reinstalación del software.
Sprecher Automation ha informado a partir de un informe de Copa-Data sobre varias vulnerabilidades en SPRECON-V460. La más importante, con criticidad alta, se produce en el Data Hub, ya que existe un archivo de configuración que permite cargar plugins adicionales desde un directorio donde un usuario normal tiene acceso de escritura. Se ha asignado el identificador CVE-2023-3321 para esta vulnerabilidad.
Se han identificado otras vulnerabilidades de severidad media con códigos CVE-2023-3323 y CVE-2023-3324.
Divulgación de información en productos de Mitsubishi Electric
- GT Designer3 versión1 (GOT2000) versiones 1.295H y anteriores;
- GT SoftGOT2000, versiones 1.295H y anteriores;
- GOT2000 modelos: GT27, GT25, GT23 y GT21, versiones 01.49.000 y anteriores;
- GOT SIMPLE modelos: GS25 y GS21, versiones 01.49.000 y anteriores.
Jinyoung Kim, Jeonghoon Bae, Yijoon Jung Y Hyeokjong Yun han informado de una vulnerabilidad de severidad alta que podría provocar divulgación de información en la función de seguridad de transferencia de datos.
Mitsubishi Electric recomienda actualizar a la última versión disponible (ver más información en el enlace de 'Referencias')
Esta vulnerabilidad de severidad alta podría permitir a un atacante obtener contraseñas en texto plano monitorizando paquetes que contienen contraseñas cifradas y descifrando las contraseñas utilizadas. Se ha asignado el identificador CVE-2023-0525 para esta vulnerabilidad.