Se ha reportado un nuevo aviso de seguridad sobre múltiples vulnerabilidades que afectan a productos de Phoenix Contact, que permitirían a un atacante provocar denegación de servicio (DoS), desbordamiento de búfer en la memoria, entre otros.
Las vulnerabilidades reportadas se componen de 6 (seis) de severidad “Crítica”, de 45 (cuarenta y cinco) de severidad “Alta”, 12 (doce) de severidad “Media” y 1 (una) de severidad “Baja”. Las principales se detallan a continuación:
- CVE-2022-32207, de severidad “Crítica”, con una puntuación asignada de 9.8. Esta vulnerabilidad se debe a una falla de seguridad en los permisos por defecto en productos de Phoenix Contact. Esto permitiría a un atacante reemplazar el nombre del archivo temporal al nombre del archivo de destino final provocando una ampliación de los permisos para el archivo de destino para permitir el acceso no autorizado de usuarios al archivo final actualizado.
- CVE-2022-37434, de severidad “Crítica”, con una puntuación asignada de 9.8. Esta vulnerabilidad se debe a una falla de escritura fuera de los límites dentro de la función inflateGetHeader del encabezado gzip en aplicaciones de Phoenix Contact. Esto permitiría a un atacante provocar un desbordamiento de búfer basado en montón (heap) para potencialmente realizar ejecución arbitraria de código en el sistema afectado.
- CVE-2022-2207, de severidad “Crítica”, con una puntuación asignada de 9.8. Esta vulnerabilidad se debe a una falla de seguridad en el repositorio de GitHub de la herramienta Vim (editor de texto similar a vi usado en sistemas Linux) de Phoenix Contact. Esto permitiría a un atacante remoto a través de un archivo especialmente diseñado enviado a la víctima y ejecutada por ella, provocar desbordamiento de búfer basado en montón (heap) y ejecución arbitraria de código, así como denegación de servicio (DoS) en el sistema afectado.
Los productos afectados son:
- AXC F 1152, versiones de firmware anteriores a 2023.0.0 LTS
- AXC F 2152, versiones de firmware anteriores a 2023.0.0 LTS
- AXC F 3152, versiones de firmware anteriores a 2023.0.0 LTS
- BPC 9102S, versiones de firmware anteriores a 2023.0.0 LTS
Puede visualizar el listado completo de productos afectados aquí.
Se recomienda acceder a la actualización proporcionada por el fabricante en el siguiente enlace:
Referencias:
- https://www.incibe-cert.es/alerta-temprana/avisos-sci/multiples-vulnerabilidades-productos-phoenix-contact-7
- https://nvd.nist.gov/vuln/detail/CVE-2022-32207
- https://nvd.nist.gov/vuln/detail/CVE-2022-37434
- https://nvd.nist.gov/vuln/detail/CVE-2022-2207
- https://cert.vde.com/en/advisories/VDE-2023-001/
- https://dam-mdc.phoenixcontact.com/asset/156443151564/a3ed221edfc7274e8d007cd84a33c4b7/Security_Advisory_PLCnext_Linux_Components_2023.0.0_LTS.pdf
- https://www.phoenixcontact.com/en-pc/products/software-plcnext-engineer-1046008