botón arriba

Tres nuevos avisos de SCI

Vulnerabilidad de control de procesos en CIMPLICITY de GE Digital

Fecha01/09/2023
Importancia4 - Alta
Recursos Afectados

​GE Digital CIMPLICIDAD: v2023

Descripción

​Michael Heinzl ha reportado una vulnerabilidad de severidad alta, la cual podría permitir que un atacante local con pocos privilegios escale privilegios a SYSTEM.

Solución

Actualice CIMPLICITY a v2023 SIM 1 (es necesario iniciar sesión).

Detalle

La vulnerabilidad de severidad alta detectada es de control de procesos. En el caso de ser explotada, podría permitir a un atacante local insertar archivos de configuración maliciosos en la ruta de ejecución esperada del servidor web para escalar privilegios y obtener control total del software HMI.

Se ha asignado el identificador CVE -2023-4487 para esta vulnerabilidad.


Uso de hash de contraseña en el protocolo Digi RealPort de Digi International

Fecha01/09/2023
Importancia5 - Crítica
Recursos Afectados
  • ​Digi RealPort para Windows: versión 4.8.488.0 y anteriores;
  • ​Digi RealPort para Linux: versión 1.9-40 y anteriores;
  • ​Digi ConnectPort TS 8/16: versiones anteriores a 2.26.2.4;
  • ​Servidor de consola Digi Passport: todas las versiones;
  • ​Digi ConnectPort LTS 16/8/32: versiones anteriores a 1.4.9;
  • ​Servidor de consola Digi CM: todas las versiones;
  • ​Digi PortServer TS: todas las versiones;
  • ​Digi PortServer TS MEI: todas las versiones;
  • ​Digi PortServer TS MEI Hardened: todas las versiones;
  • ​Digi PortServer TS M MEI: todas las versiones;
  • ​Digi PortServer TS P MEI: todas las versiones;
  • ​Familia Digi One IAP: todas las versiones;
  • ​Digi One IA: todas las versiones;
  • ​Digi One SP IA: todas las versiones;
  • ​Digi One SP: todas las versiones;
  • ​Digi WR31: todas las versiones;
  • ​Digi WR11 XT: todas las versiones;
  • ​Digi WR44 R: todas las versiones;
  • ​Digi WR21: todas las versiones;
  • ​Digi Connect ES: versiones anteriores a 2.26.2.4;
  • ​Digi Connect SP: todas las versiones.
Descripción

Reid Wightman, de Dragos, Inc., ha informado de una vulnerabilidad de severidad crítica que podría permitir al atacante acceder al equipo conectado.

Solución

​Digi International recomienda a los usuarios adquirir e instalar parches que hayan puesto a disposición para los siguientes productos:

  • ​Software RealPort para Windows: corregido en 4.10.490;
  • ​Digi ConnectPort TS 8/16: corregido en la versión de firmware 2.26.2.4;
  • ​Digi ConnectPort LTS 8/16/32: corregido en la versión 1.4.9;
  • ​Digi Connect ES: corregido en la versión de firmware 2.26.2.4.
Detalle

El protocolo afectado es vulnerable a un ataque de repetición que puede permitir a un atacante eludir la autenticación para acceder al equipo conectado. 

Se ha asignado el identificador CVE -2023-4299 para esta vulnerabilidad.


Múltiples vulnerabilidades en MXsecurity Series de Moxa

Fecha01/09/2023
Importancia5 - Crítica
Recursos Afectados

MXsecurity Series, versiones de software 1.0.1 y anteriores.

Descripción

Noam Moshe, Darren Martyn y James Sebree han reportado 5 vulnerabilidades, de las cuales una es de severidad media, 3 de severidad alta, y una de severidad crítica. La explotación de estas vulnerabilidades podría permitir a un atacante eludir la autenticación, lo que podría conducir a la divulgación no autorizada o la manipulación de información autenticada, el acceso no autorizado a datos sensibles y el acceso remoto sin la debida autorización.

Solución

Las vulnerabilidades han sido corregidas en las versiones 1.1.0 y posteriores.

Detalle
  • CVE-2023-39979: vulnerabilidad crítica, por la cual un atacante podría saltarse la autenticación para obtener acceso no autorizado.
  • CVE-2023-39980: vulnerabilidad de severidad alta. Un atacante podría cambiar el comando SQL para obtener acceso no autorizado y revelar información.
  • CVE-2023-39981: vulnerabilidad de severidad alta, la cual permitiría a un atacante obtener acceso no autorizado para revelar información del dispositivo.
  • CVE-2023-39982: vulnerabilidad de severidad alta, la cual facilitaría los ataques Man-in-the-Middle y permitiría el descifrado del tráfico SSH.
  • CVE-2023-39983: vulnerabilidad de severidad media. Un atacante podría registrar o añadir un dispositivo a través de la aplicación nsm-web,