Múltiples vulnerabilidades en Connected Components Workbench de Rockwell Automation
Fecha de publicación 14/05/2021
Importancia
4 - Alta
Recursos Afectados
Connected Components Workbench, versión 12.00.00 y anteriores.
Descripción
Mashav Sapir, investigador de Claroty, ha reportado a Rockwell Automation 3 vulnerabilidades, 2 con severidad alta y 1 media, que podrían permitir ejecución de código remoto, omisión de autenticación o escalada de privilegios.
Solución
Actualizar Connected Components Workbench a la versión 13.00.00 o posteriores.
Detalle
- La vulnerabilidad, que requiere la interacción del usuario para ser explotada, podría permitir a los atacantes crear un objeto serializado malicioso que, si es abierto por un usuario local en el producto afectado, podría resultar en una ejecución remota de código. Se ha asignado el identificador CVE-2021-27475 para esta vulnerabilidad alta.
- El mecanismo de análisis sintáctico que procesa ciertos tipos de archivos no proporciona sanitización de entrada para las rutas de archivos, lo que podría permitir a un atacante crear archivos maliciosos que, al ser abiertos por Connected Components Workbench, pudiesen recorrer el sistema de archivos. Un atacante podría sobrescribir los archivos existentes y crear archivos adicionales con los mismos permisos del producto afectado. Se ha asignado el identificador CVE-2021-27471 para esta vulnerabilidad alta.
Para la vulnerabilidad de severidad media se ha asignado el identificador CVE-2021-27473.
Listado de referencias
Etiquetas