Avisos de seguridad de Siemens de abril de 2022

Siemens, en su comunicado mensual de parches de seguridad, ha emitido un total de 11 nuevos avisos de seguridad.

• La deserialización inadecuada del contenido suministrado por el usuario podría permitir a un atacante, no autenticado, ejecutar código arbitrario en el dispositivo con privilegios de system mediante el envío de objetos especialmente diseñados. Se ha asignado el identificador CVE-2022-23450 para esta vulnerabilidad crítica.
• La validación inadecuada del URI de las peticiones HTTP GET entrantes podría permitir a un atacante remoto, no autenticado, el bloqueo de los dispositivos afectados. Se ha asignado el identificador CVE-2022-26335 para esta vulnerabilidad crítica.

Los tipos de nuevas vulnerabilidades, no críticas, publicadas se corresponden con los siguientes:

• falta de autorización,
• control de acceso inadecuado,
• ejecución concurrente utilizando un recurso compartido con una sincronización inadecuada (condición de carrera),
• validación incorrecta de entrada,
• revelación de información a actores no autorizados,
• consumo de recursos no controlado (agotamiento de recursos),
• restricción de operaciones inapropiada dentro de los límites del búfer de la memoria,
• asignación incorrecta de permisos en un recurso crítico,
• elemento no controlado en la ruta de búsqueda,
• uso de valores insuficientemente aleatorios,
• desbordamiento de búfer basado en pila (stack),
• falsificación de petición en sitios cruzados (Cross-Site Request Forgery),
• neutralización inadecuada de las etiquetas HTML relacionadas con los scripts en una página web (XSS básico),
• copia de búfer sin comprobación del tamaño de entrada (desbordamiento de búfer clásico),
• lectura fuera de límites,
• escritura fuera de límites.

Los identificadores CVE asignados para estas vulnerabilidades, no críticas, pueden consultarse en la sección 'vulnerability classification' de cada aviso de Siemens.