Múltiples vulnerabilidades en productos de Helmholz
Fecha de publicación 16/10/2024
Identificador
INCIBE-2024-0514
Importancia
5 - Crítica
Recursos Afectados
- myREX24 V2, versiones 2.16.2 y anteriores.
- myREX24.virtual, versiones 2.16.2 y anteriores.
- REX200/250, versiones 8.2.0 y anteriores.
- REX300, versiones 5.1.11 y anteriores.
- REX100, versiones 2.2.13 y anteriores.
Descripción
El investigador Moritz Abrell de SySS GmbH ha reportado a CERT@VDE, en coordinación con Helmholz, 7 vulnerabilidades: 2 de severidad crítica y 5 de severidad alta, que afectan a varios productos de Helmholz. La explotación de estas vulnerabilidades podría provocar acceso no autorizado a archivos o ejecución remota de código.
Solución
- Actualizar REX200/250 a la versión 8.2.1.
- Actualizar myREX24 V2 y myREX24.virtual a la versión 2.16.3.
- Actualizar REX100 a la versión 2.3.1.
REX300 se encuentra en el final de su vida y no recibirá actualizaciones.
Detalle
- Debido a una autenticación insuficiente en REX100, un atacante externo podría ejecutar comandos del sistema operativo, mediante UDP en el dispositivo. Se ha asignado el identificador CVE-2024-45274 para esta vulnerabilidad crítica.
- REX100 contiene dos credenciales de cuentas de usuarios codificadas en texto claro. Estas credenciales permitirían a un atacante remoto obtener control total de los dispositivos afectados. Se ha asignado el identificador CVE-2024-45275 para esta vulnerabilidad crítica.
Además se han asignado los identificadores CVE-2024-45272, CVE-2024-45276, CVE-2024-45273 y CVE-2024-45271 para las vulnerabilidades altas. Estas se pueden consultar en las referencias.
Listado de referencias
