[Actualización 13/08/2021] Múltiples vulnerabilidades en varios productos de Johnson Controls
Fecha de publicación 02/07/2021
Importancia
4 - Alta
Recursos Afectados
- Facility Explorer SNC Series Supervisory Controller, versión 11;
- C-CURE 9000, todas las versiones anteriores a la 2.80.
Descripción
Johnson Controls ha reportado al CISA dos vulnerabilidades de severidad alta que podrían permitir a un atacante remoto realizar una escalada de privilegios.
Solución
- Aplicar el parche correspondiente al producto Facility Explorer SNC Series Supervisory Controllers (F4-SNC), siguiendo las instrucciones recogidas en el aviso JCI-PSA-2021-11 v1 del fabricante.
- Actualizar C-CURE 9000 a la versión 2.80 u otra posterior. Si esto no fuera posible, el fabricante recomienda deshabilitar las actualizaciones automáticas, siguiendo las instrucciones del documento SWH-TAB-nID-000006545.
[Actualización 13/08/2021]:
El fabricante recomienda desinstalar la función C-CURE 9000 Auto Update cuando no se utilice.
- Versiones anteriores a la 2.60:
- deberían actualizarse previamente a la versión 2.60 Service Pack 2 CU07 o posterior.
- Versiones anteriores a la 2.60 y 2.70:
- actualizar previamente a las versiones 2.60 Service Pack 2 CU07, 2.70 Service Pack 2 CU01 o posteriores.;
- en una máquina con el servidor C-CURE 9000 instalado, el paquete de servicio eliminará automáticamente el cliente de actualización automática;
- en los equipos cliente remotos, al ejecutar el paquete de servicio y si el servicio de actualización automática está instalado, un aviso preguntará a los usuarios si desean eliminar el servicio;
- si los usuarios ejecutan el paquete de servicio en modo silencioso, deben ejecutarlo con el parámetro opcional "/REMOVEAUTOUPDATE" para eliminar el cliente de actualización automática.
- Versiones 2.80 y 2.90:
- a partir de la versión 2.80 de C-CURE 9000, la función de actualización automática del cliente es una instalación independiente.
- desde Programas y características de Windows en el servidor de aplicaciones, seleccionar Actualización automática de C-CURE 9000, haga clic con el botón derecho y luego seleccione Desinstalar.
- en Programas y características de Windows, donde estén instalados los clientes de C-CURE 9000 (estación de monitoreo, estación de trabajo de administración y el servicio de actualización automática), seleccionar CCURE9000ClientAutoupdate, hacer clic con el botón derecho y luego seleccionar Desinstalar.
Detalle
- Una vulnerabilidad de gestión de privilegios inadecuada en Facility Explorer SNC Series Supervisory Controllers podría permitir a un atacante remoto y autenticado realizar una escalada de privilegios en el sistema de archivos del controlador mediante el envío de mensajes web especialmente diseñados. Se ha asignado el identificador CVE-2021-27661 para esta vulnerabilidad.
- Una vulnerabilidad de validación de entrada inadecuada en la función de actualización de C-CURE 9000 podría permitir a un atacante remoto ejecutar programas de Windows con menos privilegios. Se ha asignado el identificador CVE-2021-27660 para esta vulnerabilidad.
Listado de referencias
Etiquetas