Múltiples vulnerabilidades en productos Siemens

12/04/2022 Noticias 0

Siemens ha publicado actualizaciones de seguridad que subsanan múltiples vulnerabilidades en sus diferentes productos, que permitirían a un atacante realizar ejecución remota de código (RCE), bloquear los dispositivos afectados, acceder a información sensible, entre otros.

Las vulnerabilidades reportadas se componen de 2 (dos) de severidad “Crítica”, 15 (quince) de severidad “Alta”, 5 (cinco) de severidad “Media” y 3 (tres) de severidad “Baja”. Las principales se detallan a continuación:

  • CVE-2022-23450 de severidad crítica, con una puntuación asignada de 10.0. Esta vulnerabilidad se debe a una falla en el control del contenido suministrado por el usuario. Un atacante no autenticado podría aprovechar esta vulnerabilidad enviando un objeto especialmente diseñado con fines malintencionados, que permitiría al atacante realizar ejecución remota de código (RCE) en el dispositivo con privilegios SYSTEM.
  • CVE-2022-26335 de severidad crítica, con una puntuación asignada de 9.6. Esta falla se debe a la incorrecta validación del URI de las peticiones HTTP GET entrantes, que permitiría a un atacante remoto no autenticado, bloquear los dispositivos afectados.
  • CVE-2022-25752 de severidad alta, con una puntuación asignada de 8.8. Esta falla se debe a que el servidor web de los dispositivos afectados calcula los identificadores (ID) de sesión de forma insegura. Un atacante remoto no autenticado podría aprovechar esta vulnerabilidad e identificar los ID de sesión a través de ataques de fuerza bruta y obtener sesiones activas, logrando acceder a información sensible.

Para visualizar el listado completo de las vulnerabilidades subsanadas, ingrese aquí.

Los productos afectados son:SICAM A8000, versiones anteriores a 4.80 de:

  • CP-8031 (6MF2803-1AA00).
  • CP-8050 (6MF2805-0AA00).

SIMATIC STEP 7 (TIA Portal):

  • todas las versiones 15.
  • versiones anteriores a 16 Update 5,
  • versiones anteriores a 17 Update 2.

Mendix Applications:

  • todas las versiones de Mendix 7.
  • todas las versiones de Mendix 8.
  • versiones anteriores a 9.12.0 en Mendix 9.
  • versiones anteriores a 9.6.3 en Mendix 9 (9.6).

TIA Portal, versiones 15, 15.1, 16 y 17.SIMIT Simulation Platform, todas las versiones.SINETPLAN, todas las versiones.Simcenter Femap, versiones anteriores a 2022.1.2.SIMATIC: el listado completo de versiones y productos afectados se puede visualizar en los siguientes enlaces: SSA-446448, SSA-557541, SSA-655554 y SSA-711829.SCALANCE: el listado completo de versiones y productos afectados se puede visualizar en los siguientes enlaces: SSA-392912 y SSA-836527.

‎Recomendamos instalar las actualizaciones correspondientes provistas por el fabricante, mediante el siguiente enlace:

Referencias:

Compartir: