Múltiples vulnerabilidades en productos WAGO

Fecha de publicación 18/10/2022

Identificador

INCIBE-2022-0973

Importancia

5 - Crítica

Recursos Afectados

WAGO-I/O-PRO Engineering Software, versiones 2.3.9.68 y anteriores.
Ethernet Controller 3rd Generation, versiones:
- 01.04.16(14) y anteriores;
- 01.09.25(16) y anteriores;
- 01.08.25(16) y anteriores;
- 01.07.25(16) y anteriores;
- 01.03.25(16) y anteriores.
Ethernet Controller 4th Generation, versiones:
- 01.05.04(10) y anteriores;
- 01.02.16(06) y anteriores.
PFC200, versiones 03.10.08(22) y anteriores.
Series WAGO PFC100/PFC200, versiones:
- desde 03.01.07(13) hasta 03.10.08(22) incluida;
- desde 03.04.10(16) hasta 03.10.08(22) incluida.
Series WAGO Touch Panel 600, versiones desde 03.01.07(13) hasta 03.10.09(22) incluida.
WAGO Compact Controller CC100, versiones desde 03.07.17(19) hasta 03.09.08(21) incluida.
WAGO Edge Controller, versiones desde 03.06.09(18) hasta 03.10.09(22) incluida.

Descripción

CERT@VDE, coordinado con WAGO, ha publicado 2 avisos que contienen vulnerabilidades de múltiples severidades, 2 de severidad crítica, 7 altas y 6 medias. La explotación de estas vulnerabilidades podría permitir a un atacante causar una condición de denegación de servicio (DoS), eliminar archivos, acceder a comunicaciones cliente/servidor o eludir el filtrado de direcciones MAC.

Solución

WAGO recomienda a todos los usuarios afectados con PLCs WAGO I/O-PRO/CODESYS 2.3 actualizar el firmware y utilizar la última versión de WAGO I/O-Pro en cuanto esté disponible (cuarto trimestre de 2022). Hasta entonces, el fabricante recomienda desconectar el puerto IP 2455 de CODESYS después de la puesta en marcha o, si no es posible, utilizar una contraseña de administrador robusta, además de aplicar las medidas descritas en el apartado Mitigation.
Actualizar los productos afectados a la versión de firmware correctora correspondiente:
- Series WAGO PFC100/PFC200 and WAGO Compact Controller CC100:
  - 03.10.10(22) o superiores;
  - 04.01.10(23) o superiores.
- Series WAGO Touch Panel 600 y WAGO Edge Controller 03.10.10(22) o superiores.

Detalle

Las vulnerabilidades críticas se describen a continuación:

En CODESYS V2 PLCWinNT y Runtime Toolkit 32 la protección por contraseña no está habilitada por defecto y no hay información o aviso para habilitar dicha protección en el inicio de sesión, en caso de que no se establezca ninguna contraseña en el controlador. Se ha asignado el identificador CVE-2022-31806 para esta vulnerabilidad.
En CODESYS Gateway Server V2 sólo se compara una parte de la contraseña especificada con la contraseña real de CODESYS Gateway. Un atacante podría realizar la autenticación especificando una pequeña contraseña que coincida con la parte correspondiente de la contraseña real más larga de CODESYS Gateway. Se ha asignado el identificador CVE-2022-31802 para esta vulnerabilidad.

El resto de identificadores CVE se pueden consultar en los aviso del CERT@VDE.

Se incluye información adicional sobre las vulnerabilidades que afectan a productos CODESYS empleados por WAGO en las referencias.