Múltiples vulnerabilidades en MicroSCADA Pro X SYS600 de Hitachi Energy

Fecha de publicación 30/09/2022

Identificador

INCIBE-2022-0944

Importancia

4 - Alta

Recursos Afectados

Hitachi Energy ha informado que esta vulnerabilidad afecta a los siguientes productos SCADA utilizados para monitorizar y controlar los sistemas de energía:

SYS600 versión 10.3.1 y anteriores,
SYS600 versiones 9.x,
SYS600 9.4 FP2 Hotfix 4 y versiones anteriores.

Descripción

La explotación exitosa de estas vulnerabilidades podría causar que SYS600 no se inicie o que una persona no autorizada ejecute scripts, causando una condición de denegación de servicio (DoS).

Solución

SYS600 versión 9.x o 10.x actualiza a la versión 10.4 o posterior.
No habilitar ICCP si no se utiliza.

Detalle

El detalle de las vulnerabilidades de severidad alta es el siguiente:

Existe una vulnerabilidad durante el inicio de SYS600, donde una falta de validación de entrada provoca un desbordamiento de búfer al leer un archivo de configuración específico. Posteriormente, SYS600 podría fallar al iniciarse. Se requiere acceso de administrador para acceder al archivo de configuración. Se ha asignado el identificador CVE-2022-1778 para esta vulnerabilidad.
Existe una vulnerabilidad en la pila ICCP debido a una falla de validación en el proceso que establece la comunicación ICCP. La falla de validación podría causar una condición de denegación de servicio cuando se solicita a ICCP de SYS600 que envíe cualquier actualización de elementos de datos con marcas de tiempo demasiado lejanas en el futuro a cualquier sistema ICCP remoto. De manera predeterminada, ICCP no está configurado ni habilitado. Se ha asignado el identificador CVE-2022-2277 para esta vulnerabilidad.
Existe una vulnerabilidad en Workplace X WebUI, en la que un usuario autenticado podría ejecutar cualquier secuencia de comandos interna de MicroSCADA, independientemente de la función del usuario autenticado. Se ha asignado el identificador CVE-2022-29490 para esta vulnerabilidad.
Existe una vulnerabilidad en el manejo de un paquete IEC 61850 especialmente diseñado con un elemento de datos válido, pero con un tipo de datos incorrecto en el servidor OPC IEC 61850. La vulnerabilidad puede provocar una condición de denegación de servicio en el componente del servidor OPC IEC 61850 del SYS600. Se ha asignado el identificador CVE-2022-29922 para esta vulnerabilidad.
Existe una vulnerabilidad NULL Pointer Dereference y otra de bucle infinito en los componentes de software de código abierto de terceros (OpenLDAP y OpenSSL) utilizados en los productos MicroSCADA Pro/X SYS600. Se han asignado los identificadores CVE-2020-25692 y CVE-2022-0778 para estas vulnerabilidades.

Para la vulnerabilidad de severidad media se ha asignado el identificador CVE-2022-29492.