Múltiples vulnerabilidades en productos TRUMPF
Fecha de publicación 13/08/2021
Importancia
5 - Crítica
Recursos Afectados
Los siguientes productos, con la versión de TruControl desde la 1.04 hasta la 3.0.0 y TRUMPF Peripheral Bus:
- TruPulse,
- TruDisk,
- TruDiode,
- TruFiber,
- TruMicro2000,
- TruMicro5000,
- TruMicro6000,
- TruMicro7000,
- TruMicro8000,
- TruMicro9000,
- redpowerDirect.
Descripción
CODESYS GmbH ha reportado múltiples vulnerabilidades (3 de severidad crítica, 6 altas y 2 medias) que afectan a varios dispositivos de TRUMPF Laser GmbH que, a su vez, ha notificado estas vulnerabilidades al CERT@VDE.
Solución
Actualizar TruControl a la versión 3.16.0 o posteriores.
Detalle
Las 3 vulnerabilidades críticas se describen a continuación:
- CODESYS Gateway no verifica correctamente la propiedad de un canal de comunicación. Se ha asignado el identificador CVE-2019-9010 para esta vulnerabilidad.
- La gestión del acceso de los usuarios y el cifrado de las comunicaciones no están activados por defecto en 3S-Smart Software Solutions GmbH CODESYS Control V3, lo que podría permitir a un atacante acceder al dispositivo y a la información sensible, incluidas las credenciales de los usuarios. Se ha asignado el identificador CVE-2018-10612 para esta vulnerabilidad.
- El sistema de ejecución de CODESYS permite acceder a archivos fuera del directorio de trabajo restringido del controlador mediante servicios en línea.
Para el resto de vulnerabilidades se han asignado los identificadores: CVE-2021-29242, CVE-2021-29241, CVE-2019-5105, CVE-2019-9012, CVE-2019-9009 y CVE-2020-7052.
Listado de referencias