Dos nuevos avisos de SCI
Avisos de seguridad de Siemens de octubre de 2024
- SIMATIC
- SIPLUS
- RUGGEDCOM APE1808LNX
- SENTRON Powercenter 1000
- PSS(R)SINCAL
- ModelSim
- Questa
- Siemens SINEC Security Monitor
- Tecnomatix Plant Simulation
- JT2Go
- Teamcenter Visualization
- SENTRON 7KM PAC3200
- Simcenter Nastran
Consultar modelos concretos y versiones afectadas en las referencias.
Siemens ha publicado en su comunicado mensual varias actualizaciones de seguridad de diferentes productos.
Las actualizaciones que corrigen las vulnerabilidades indicadas pueden obtenerse desde el panel de descarga de Siemens. Para los productos sin actualizaciones disponibles es recomendable aplicar las medidas de mitigación descritas en la sección de 'Referencias'.
Siemens, en su comunicado mensual de parches de seguridad, ha emitido un total de 12 nuevos avisos de seguridad, recopilando un total de 21 vulnerabilidades de distintas severidades. Las vulnerabilidades críticas se describen a continuación:
- CVE-2024-45181: una comprobación de límites inadecuada podría permitir que paquetes especialmente diseñados provoquen una escritura en una dirección arbitraria en el producto PSS(R)SINCAL, resultando en condición de denegación de servicio (DoS).
- CVE-2024-47553: SINEC Security Monitor no valida correctamente la entrada del usuario en el comando ssmctl-client. Esto podría permitir a un atacante remoto, autenticado y con bajo nivel de privilegios, ejecutar código arbitrario con privilegios de root en el sistema operativo subyacente.
- CVE-2024-47562: SINEC Security Monitor no neutraliza correctamente los elementos especiales en la entrada del usuario al comando ssmctl-client. Esto podría permitir a un atacante local autenticado y con bajo nivel de privilegios ejecutar comandos con privilegios en el sistema operativo subyacente.
- CVE-2024-41798: SENTRON 7KM PAC3200 solo proporciona un PIN de 4 dígitos para proteger del acceso administrativo a través de la interfaz Modbus TCP. Los atacantes con acceso a la interfaz Modbus TCP podrían omitir esta protección mediante ataques de fuerza bruta o mediante el rastreo de la comunicación Modbus en texto plano.
El resto de las vulnerabilidades no críticas se pueden comprobar en las referencias.
Múltiples vulnerabilidades en productos Schneider Electric
- EcoStruxure IT Data Center Expert, versiones 8.1.1.3 y anteriores,
- Todas las versiones de los productos:
- Harmony iPC - HMIBSC IIoT Edge Box Core;
- HMIBSCEA53D1L0T;
- HMIBSCEA53D1L0A;
- HMIBSCEA53D1L01;
- HMIBSCEA53D1LSE;
- HMIBSCEA53D1LSU;
- aplicación System Monitor en las series Harmony Industrial PC HMIBMO/HMIBMI/HMIPSO/HMIBMP/HMIBMU/HMIPSP/HMIPEP;
- aplicación System Monitor en las series Pro-face Industrial PC PS5000.
- Easergy Studio, versiones 9.3.1 y anteriores.
- EVlink Home Smart, versiones anteriores a 2.0.6.0.0.
- Schneider Charge, versiones anteriores a 1.13.4.
- EcoStruxure Power Monitoring Expert (PME), versiones 2022 y anteriores.
- Zelio Soft 2, versiones anteriores a 5.4.2.2.
- EcoStruxure EV Charging Expert, versiones anteriores a 6.0.0.
Adicionalmente, Yocto Krogoth Operating System versiónn 2.1, un componente de terceros empleado en los productos HMIBSC y EcoStruxure EV Charging Expert del fabricante, también está afectado al contener múltiples vulnerabilidades de severidad alta y crítica.
Schneider Electric ha publicado 8 avisos de seguridad que recogen un total de 8 vulnerabilidades, siendo 1 de severidad crítica, 5 altas, 1 media y 1 baja. A estas vulnerabilidades se añaden las incluidas en el componente externo Yocto Krogoth OS.
La explotación de estas vulnerabilidades podría permitir a un atacante acceder a información privada, generar fallos operativos, escalar privilegios, ejecutar código de forma remota, consumir los recursos, denegar el servicio y comprometer la integridad.
Actualizar los productos afectados a las versiones correctoras:
- EcoStruxure IT Data Center Expert, versión 8.2.
- Easergy Studio, versión 9.3.4.
- EVlink Home Smart, versión 2.0.6.0.0.
- Schneider Charge, versión 1.13.4.
- EcoStruxure PME, aplicar hotfix disponible en el centro de atención al cliente.
- Zelio Soft 2, versión 5.4.2.2.
- EcoStruxure EV Charging Expert, versiones 6.0.0 y posteriores.
Los productos Harmony Industrial PC han alcanzado el final de su vida útil (EoL), por lo que carecen de soporte. Se recomienda aplicar las medidas de mitigación descritas en las referencias. Adicionalmente, el fabricante no puede actualizar el sistema operativo de HMIBSC debido a limitaciones con el hardware y no puede proporcionar actualizaciones de seguridad a sus clientes.
La vulnerabilidad de severidad crítica, que afecta a las series de productos Harmony Industrial y Pro-face Industrial, podría provocar la exposición de credenciales cuando un atacante tiene acceso a la aplicación en la red a través del protocolo HTTP. Se ha asignado el identificador CVE-2024-8884 para esta vulnerabilidad.
Para el resto de vulnerabilidades no críticas se han asignado los identificadores: CVE-2024-8531, CVE-2024-8530, CVE-2024-9002, CVE-2024-8070, CVE-2024-9005, CVE-2024-8422 y CVE-2024-8518.