Vulnerabilidad de inyección de comandos en Festo CECC-X-M1
INCIBE-2022-0823
- Controlador CECC-X-M1 versión 4.0.14, versión 3.8.14 y anteriores,
- Controlador CECC-X-M1-MV versión 4.0.14, versión 3.8.14 y anteriores,
- Controlador CECC-X-M1-MV-S1 versión 4.0.14, versión 3.8.14 y anteriores,
- Controlador CECC-X-M1-YS-L1, Controlador CECC-X-M1-YS-L2, Controller CECC-X-M1-Y-YJKP, Kit de servoprensa YJKP y Kit de servoprensa YJKP- versiones 3.8.14 y anteriores.
Los investigadores Q. Kaiser y M. Illes, de ONEKEY Research Labs, informaron a Festo de varias vulnerabilidades de inyección de comandos en varias versiones del controlador Festo CECC-X-M1 que podrían permitir ejecutar comandos arbitrarios del sistema del dispositivo con privilegios de root.
Aplicar versiones del firmware 3.8.18, 4.0.18, o superiores.
Los controladores Festo CECC-X-M1 en varias versiones se ven afectadas por vulnerabilidades de inyección de comandos sin necesidad de autenticación, mediante una petición tipo POST "cecc-x-web-viewer-request-off", lo que permitiría a un atacante obtener acceso al servidor web y ejecutar comandos arbitrarios del sistema. Se han asignado los identificadores CVE-2022-30308, CVE-2022-30309, CVE-2022-30310 y CVE-2022-30311 para estas vulnerabilidades.
