Inyección de comandos en productos Festo
INCIBE-2022-0784
- Controller CECC-X-M1, versiones 3.8.14 y anteriores;
- Controller CECC-X-M1, versión 4.0.14;
- Controller CECC-X-M1-MV,versiones 3.8.14 y anteriores;
- Controller CECC-X-M1-MV, versión 4.0.14;
- Controller CECC-X-M1-MV-S1,versiones 3.8.14 y anteriores;
- Controller CECC-X-M1-MV-S1, versión 4.0.14;
- Controller CECC-X-M1-YS-L1, versiones 3.8.14 y anteriores;
- Controller CECC-X-M1-YS-L2, versiones 3.8.14 y anteriores;
- Controller CECC-X-M1-Y-YJKP, versiones 3.8.14 y anteriores;
- Servo Press Kit YJKP, versiones 3.8.14 y anteriores;
- Servo Press Kit YJKP-, versiones 3.8.14 y anteriores;
Q. Kaiser, M. Illes, de ONEKEY Research Labs, ha reportado una vulnerabilidad a Festo, que ha publicado en coordinación con CERT@VDE, y podría permitir a un atacante, con acceso al servidor web, ejecutar comandos arbitrarios del sistema en el dispositivo, con privilegios de root.
La vulnerabilidad se solucionará en la próxima versión de firmware, prevista para finales de junio de 2022.
En la familia de productos CECC-X-M1 de Festo Controller, las solicitudes POST del punto de acceso http 'cecc-x-web-viewer-request-on','cecc-x-web-viewer-request-off' y 'cecc-x-acknerr-request', no comprueban la sintaxis del puerto. Esto podría permitir a un atacante la ejecución no autorizada de comandos del sistema con privilegios de root, debido a la inyección de comandos de control de acceso inadecuados. Se han asignado los identificadores CVE-2022-30308, CVE-2022-30309, CVE-2022-30310 y CVE-2022-30311 para estas vulnerabilidades.
