Múltiples vulnerabilidades en productos de Schneider Electric

Fecha de publicación 11/04/2023

Identificador

INCIBE-2023-0133

Importancia

5 - Crítica

Recursos Afectados

Todas las versiones de:
- PacDrive 3 Controllers: LMC Eco/Pro/Pro2;
- PacDrive Controller LMC078;
- Modicon Controller: M241, M251, M262, M258, LMC058, M218 y M580 CPU Safety;
- HMISCU Controller;
- Modicon Momentum Unity M1E Processor;
- Modicon MC80;
- Legacy Modicon Quantum;
- Legacy Modicon Premium CPUs.
Versiones 1.16 Build 004 y anteriores de:
- InsightHome,
- InsightFacility,
- Conext™ Gateway (discontinuado en 2019).
EcoStruxure™ Control Expert, versión 15.1 y superiores.
APC Easy UPS Online Monitoring Software, versión 2.5-GA-01-22320 y anteriores (Windows 10, 11 Windows Server 2016, 2019, 2022).
Schneider Electric Easy UPS Online Monitoring Software, versión 2.5-GS-01-22320 y anteriores (Windows 10, 11 Windows Server 2016, 2019, 2022).
Modicon M340 CPU, versiones anteriores a 3.51.
Modicon M580 CPU, versiones anteriores a 4.10.
Instalador de Easergy Builder, versiones 1.7.23 y anteriores.

Descripción

Schneider Electric ha publicado 6 avisos de seguridad que recogen 12 vulnerabilidades, 2 de ellas de severidad crítica. La explotación de estas vulnerabilidades podría provocar la pérdida de integridad de los controladores, ejecución remota y/o arbitraria de código, extracción de certificados privados, denegación de servicio, escalada de privilegios, omisión de autenticación o ejecución de código web malicioso.

Solución

Consultar los apartados de Mitigations/Remediation de cada aviso del fabricante, para aplicar las actualizaciones y/o medidas de mitigación disponibles para solucionar las vulnerabilidades identificadas.

Detalle

Las vulnerabilidades críticas se describen a continuación:

Una vulnerabilidad de falta de autenticación para funciones críticas podría permitir cambios en las credenciales administrativas, lo que llevaría a una posible ejecución remota de código sin requerir autenticación previa en la interfaz Java RMI. Se ha asignado el identificador CVE-2023-29411 para esta vulnerabilidad.
Una vulnerabilidad de manipulación inadecuada de mayúsculas y minúsculas podría causar una ejecución remota de código al manipular métodos internos a través de la interfaz RMI de Java. Se ha asignado el identificador CVE-2023-29412 para esta vulnerabilidad.

El resto de identificadores CVE están disponibles en los avisos oficiales del fabricante.