Múltiples vulnerabilidades en productos de Siemens
La vulnerailidades de Falta de autenticación en funciones críticas (Missing authentication for critical function) y de Fortaleza de cifrado inadecuada (Inadequate encryption strength) afecta a los siguientes productos:
- DIGSI 4: Todas las versiones anteriores a la V4.92
- EN100 Ethernet module IEC 61850 variant: Todas las versiones anteriores a la V4.30
- EN100 Ethernet module PROFINET IO variant: Todas las versiones
- EN100 Ethernet module Modbus TCP variant: Todas las versiones
- [Actualización 12/02/2019] EN100 Ethernet module DNP3 variant: todas las versiones anteriores a 1.04
- [Actualización 12/02/2019] EN100 Ethernet module IEC 104 variant: Todas las versiones anteriores a 1.22
Los siguientes productos se ven afectados por la vulnerabilidad de Fortaleza de cifrado inadecuada (Inadequate encryption strength):
- SIPROTEC 4 7SJ66: Todas las versiones anteriores a la V4.30. Afectado sólo por CVE-2018-4839
- SIPROTEC Compact 7SJ80: Todas las versiones anteriores a la V4.77. Afectado sólo por CVE-2018-4839
- SIPROTEC Compact 7SK80: Todas las versiones anteriores a la V4.77. Afectado sólo por CVE-2018-4839
- SIPROTEC Compact 7SD80: Todas las versiones anteriores a la V4.70. Afectado sólo por CVE-2018-4839
- Other SIPROTEC Compact relays: Todas las versiones. Afectado sólo por CVE-2018-4839
- Other SIPROTEC 4 relays: Todas las versiones. Afectado sólo por CVE-2018-4839
[Actualización 12/03/2019]
- SIPROTEC 4 7SJ61,todas las versiones anteriores a la V4.96, afectado sólo por CVE-2018-4839
- SIPROTEC 4 7SJ62,todas las versiones anteriores a la V4.96, afectado sólo por CVE-2018-4839
- SIPROTEC 4 7SJ64,todas las versiones anteriores a la V4.96, afectado sólo por CVE-2018-4839
Los investigadores Ilya Karpov and Dmitry Sklyarov de Positive Technologies han reportado a Siemens varias vulnerabilidades que podrían permitir la obtención o la sobreescritura de contraseñas de acceso en los productos afectados.
El fabricante Siemens ha publicado las siguientes actualizaciones:
- DIGSI 4: Actualización a la versión V4.92 disponible en https://support.industry.siemens.com/cs/ww/en/view/109740980
- EN100 Ethernet module IEC 61850 variant: Actualización a la V4.3 disponible en https://support.industry.siemens.com/cs/us/en/view/109745821
- [Actualización 12/03/2019] SIPROTEC 4 7SJ61, 7SJ62 y 7SJ64: actualizar a la versión 4.96
- SIPROTEC 4 7SJ66: Actualización a la versión V4.30 disponible en https://support.industry.siemens.com/cs/us/en/ view/109743555
- SIPROTEC 4 7SD80: Actualización a la versión V4.70 disponible en https://support.industry.siemens.com/cs/us/en/ view/109742758
- SIPROTEC Compact 7SJ80: Actualización a la versión V4.77 disponible en https://support.industry.siemens.com/cs/us/en/view/109742699
- SIROTEC Compact 7SK80: Actualización a la versión V4.77 disponible en https://support.industry.siemens.com/cs/us/en/view/109742712 (link is external
- [Actualización 12/02/2019] EN100 Ethernet module IEC 104 variant: Actualización a la versión 1.22 y configuración de la contraseña de mantenimiento.
[Actualización 12/03/2019] Para más información sobre las vulnerabilidades de seguridad de los productos y soluciones de Siemens, póngase en contacto con Siemens ProductCERT.
- La vulnerabilidad de Falta de autenticación en funciones críticas (Missing authentication for critical function) podría permitir a un atacante cargar una configuración de dispositivo modificada, permitiendo sobreescribir las contraseñas de autorización de acceso. Se ha reservado el código CVE-2018-4840 para esta vulnerabilidad.
- La vulnerabilidad de Fortaleza de cifrado inadecuada (Inadequate encryption strength) podría permitir a un atacante con acceso local al sistema de ingeniería o con una posición de red privilegiada, capturar tráfico de red, posibilitando la reconstrucción de contraseñas de autorización de acceso. Se ha reservado el código CVE-2018-4839 para esta vulnerabilidad.
