Dos nuevos avisos de SCI
Múltiples vulnerabilidades en PowerPanel de CyberPower
PowerPanel: 4.9.0 y anteriores.
Amir Preminger y Noam Moshe, de Claroty Team82 Research, han informado de 8 vulnerabilidades: 3 de severidad crítica, 2 altas y 3 medias. La explotación exitosa de estas vulnerabilidades podría resultar en que un atacante eluda la autenticación y obtenga privilegios de administrador, falsifique tokens JWT para eludir la autenticación, escriba archivos arbitrarios en el servidor y logre la ejecución de código, obtenga acceso a servicios con los privilegios de una aplicación PowerPanel, obtenga acceso a el servidor de prueba o de producción, aprenda contraseñas y se autentique con privilegios de usuario o administrador, inyecte sintaxis SQL, escriba archivos arbitrarios en el sistema, ejecute código remoto, se haga pasar por cualquier cliente en el sistema y envíe datos maliciosos u obtenga datos de todo el sistema después de tener acceso a cualquier dispositivo.
CyberPower recomienda actualizar PowerPanel Business a v4.10.1 o una versión posterior.
Las vulnerabilidades de severidad crítica y alta se clasifican en los siguientes tipos:
- uso de contraseña codificada (CVE-2024-34025),
- uso de credenciales codificadas (CVE-2024-32053),
- código de depuración activo (CVE-2024-32047),
- recorrido de ruta relativa (CVE-2024-33615),
- inyección SQL (CVE-2024-31856).
El resto de identificadores CVE pueden consultarse en el aviso de las referencias.
Múltiples vulnerabilidades en DIAEnergie de Delta Electronics
DIAEnergie v1.10.00.005.
Michael Heinzl ha reportado 3 vulnerabilidades de severidad alta que podrían permitir que un atacante autenticado con privilegios limitados escale privilegios, recupere información confidencial, cargue archivos arbitrarios, haga una puerta trasera a la aplicación y comprometa el sistema en el que se implementa DIAEnergie.
Delta Electronics recomienda a los usuarios actualizar a DIAEnergie v1.10.01.004.
Las vulnerabilidades detectadas son de tipo neutralización inadecuada de elementos especiales utilizados en un comando SQL y limitación inadecuada de un nombre de ruta a un directorio restringido. Un atacante autenticado podría aprovechar este problema para comprometer potencialmente el sistema en el que está implementado DIAEnergie o escribir fuera del directorio previsto.
Se han asignado los identificadores CVE-2024-34031, CVE-2024-34032 y CVE-2024-34033 para estas vulnerabilidades.