Se ha reportado un nuevo aviso de seguridad sobre tres vulnerabilidades que afectan al software de monitoreo Easy UPS de APC, que permitirían a un atacante no autenticado cambiar las credenciales de administrador, realizar ejecución remota de código (RCE) y provocar denegación de servicio (DoS) en el software afectado.
Las vulnerabilidades reportadas se componen de 2 (dos) de severidad “Crítica” y 1 (una) de severidad “Alta”. Las mismas se detallan a continuación:
- CVE-2023-29411, de severidad “Crítica”, con una puntuación asignada de 9.8. Esta vulnerabilidad se debe a la falta de autenticación en la función critical de Easy UPS. Esto permitiría a un atacante a través de la modificación de credenciales de administrador, realizar ejecución remota de código (RCE) sin requerir la autenticación previa en la interfaz Java RMI.
- CVE-2023-29412, de severidad “Crítica”, con una puntuación asignada de 9.8. Esta vulnerabilidad se debe al manejo incorrecto de caracteres mayúsculas y minúsculas en Easy UPS. Esto permitiría a un atacante a través de la manipulación de métodos internos a través de la interfaz Java RMI, realizar ejecución remota de código (RCE).
- CVE-2023-29413, de severidad “Alta”, con una puntuación asignada de 7.5. Esta vulnerabilidad se debe a la falta de autenticación dentro de la función critical de Easy UPS. Esto permitiría a un atacante remoto no autenticado provocar denegación de servicio (DoS) al acceder al servicio Schneider UPS Monitor, así como potencialmente bloquear la administración remota de los dispositivos.
Los productos afectados son:
- APC Easy UPS Online Monitoring Software, versión v2.5-GA-01-22320 y anteriores.
- Schneider Electric Easy UPS Online Monitoring Software, versión v2.5-GA-01-22320 y anteriores.
Recomendamos acceder a las actualizaciones correspondientes proporcionados por el fabricante en los siguientes enlaces:
Adicionalmente, como medida de mitigación se recomienda tener los siguientes puntos:
- Utilizar VPN para el acceso remoto.
- Implementar controles estrictos de acceso físico y evitar dejar dispositivos en modo «Program».
Referencias:
- https://www.bleepingcomputer.com/news/security/apc-warns-of-critical-unauthenticated-rce-flaws-in-ups-software/
- https://nvd.nist.gov/vuln/detail/CVE-2023-29411
- https://nvd.nist.gov/vuln/detail/CVE-2023-29412
- https://nvd.nist.gov/vuln/detail/CVE-2023-29413
- https://download.schneider-electric.com/files?p_enDocType=Software+-+Release&p_Doc_Ref=Install_Schneider_UPS_windows