Tres nuevos avisos de SCI
Índice
- Avisos de seguridad de Siemens de mayo de 2024
- Múltiples vulnerabilidades en IRC5 / OmniCore RobotWare de ABB
- Múltiples vulnerabilidades en productos de GE HealthCare
Avisos de seguridad de Siemens de mayo de 2024
- Parasolid;
- SIMATIC;
- Simcenter Nastran;
- RUGGEDCOM;
- Solid Edge;
- JT2Go;
- Teamcenter Visualization;
- CPC80 y CPCI85 Central Processing/Communication;
- OPUPI0 AMQP/MQTT;
- SICORE Base system;
- Tecnomatix Plant Simulation;
- Polarion ALM;
- Cerberus PRO UL;
- Desigo Fire Safety UL;
- S7-PCT;
- Security Configuration Tool (SCT);
- SINUMERIK;
- TIA Portal;
- PS/IGES Parasolid Translator Component.
Consultar modelos concretos y versiones afectadas en las referencias.
Siemens ha publicado en su comunicado mensual varias actualizaciones de seguridad de diferentes productos.
Las actualizaciones que corrigen las vulnerabilidades indicadas pueden obtenerse desde el panel de descarga de Siemens. Para los productos sin actualizaciones disponibles es recomendable aplicar las medidas de mitigación descritas en la sección de 'Referencias'.
Siemens, en su comunicado mensual de parches de seguridad, ha emitido un total de 15 nuevos avisos de seguridad, recopilando un total de 70 vulnerabilidades de distintas severidades.
Las vulnerabilidades de severidad crítica identificadas se clasifican de la siguiente manera:
- uso de claves criptográficas codificadas (CVE-2024-30207);
- transmisión sin cifrar de información sensible (CVE-2024-30209);
- asignación de permisos incorrecta para recurso crítico (CVE-2024-33499);
- uso de credenciales sin cifrar (CVE-2024-32740 y CVE-2024-32741);
- falta de autorización (CVE-2024-27939);
- desbordamiento de búfer (CVE-2024-22039).
El listado completo de identificadores CVE puede consultarse en las referencias.
Múltiples vulnerabilidades en IRC5 / OmniCore RobotWare de ABB
- IRC5 RobotWare 6, versiones anteriores a 6.15.06, excepto 6.10.10, y 6.13.07.
- OmniCore RobotWare 7, versiones anteriores a 7.14.
ABB ha publicado 2 nuevas vulnerabilidades: 1 de severidad alta y otra de severidad media, cuya explotación podría permitir a un atacante la ejecución de acciones no autorizadas.
Las vulnerabilidades están solucionadas en:
- IRC5 RobotWare 6: versiones 6.10.10, 6.13.07;
- IRC5 RobotWare 6: versiones 6.15.06 o posteriores;
- OmniCore RobotWare 7: versión 7.14 o posterior.
- La vulnerabilidad CVE-2024-1913 surge cuando el sistema gestiona un correo especialmente diseñado, que puede provocar un error de fuera de banda, permitiendo al atacante realizar acciones sin autorización.
- La vulnerabilidad CVE-2024-1913 surge cuando el sistema gestiona un correo especialmente diseñado, que puede provocar un error de fuera de banda, permitiendo al atacante realizar acciones sin autorización.
Múltiples vulnerabilidades en productos de GE HealthCare
- Invenia ABUS, versiones 2.0 hasta 2.2.7;
- Vivid E95, E90, E80, S70N, S60N v204 y v206, excepto v206.82;
- Vivid T8 /T9 / iq, todas las versiones hasta v206, excepto v204.117, v205.117;
- LOGIQ E10, E10s, Fortis, versiones anteriores a la revisión R3.2.0;
- Versana Premier R2 hasta 2.1.8;
- Versana Balance R2 hasta 2.0.7;
- Versana Balance R1 hasta 1.0.9;
- Versana Balance R1 hasta 1.2.3;
- Versana Active R1 hasta 1.0.9;
- Versana Active R1 hasta 1.2.2;
- Versana Premier R1 hasta 1.0.16;
- Versana Premier R1 hasta 1.2.8;
- Versana Essential R2 hasta 2.0.3;
- Venue R1, R2, Go R2, todas las versiones;
- Venue R3, Go R3, Fit R3, todas las versiones hasta 3.3;
- Venue R4, Go R4, Fit R4, todas las versiones anteriores a 4.3;
- LOGIQ e R9, todas las versiones hasta R11.0.3;
- LOGIQ e R8, todas las versiones hasta R10.1.3;
- LOGIQ He, todas las versiones hasta R9.3.2;
- LOGIQ e R7 (9.1.x), todas las versiones hasta R9.1.4;
- LOGIQ e R7 (9.2.x), todas las versiones hasta R9.2.5;
- Voluson Expert 16/18/22 todas las versiones;
- Voluson Expert 16/18/22, BT24 ext 0;
- Voluson SWIFT/SWIFT+, todas las versiones;
- Voluson SWIFT/SWIFT+ BT24, todas las versiones.
Andrea Palanca, de GE HealthCare, y Gabriele Quagliarella, de Nozomi Networks, han reportado 3 vulnerabilidades, dos de severidad alta y una media, cuya explotación podría permitir a un atacante con acceso físico a los dispositivos afectados inutilizar los mismos.
GE HealthCare recomienda que las organizaciones adopten las mejores prácticas de seguridad y ciberseguridad, incluida la restricción del acceso físico a los dispositivos por parte de personas no autorizadas.
GE HealthCare llevó a cabo una investigación exhaustiva y determinó que, en el improbable caso de que un actor malintencionado con acceso físico inutilizara el dispositivo, habría claros indicadores de ello para el usuario previsto del dispositivo. La vulnerabilidad solo puede ser explotada por alguien con acceso físico directo al dispositivo. GE HealthCare ha determinado que las medidas de mitigación y los controles existentes están en vigor y reducen eficazmente el riesgo en la medida de lo posible, por lo que el riesgo residual asociado a esta vulnerabilidad es aceptable.
Se han asignado los identificadores CVE-2024-1628, CVE-2024-1629 y CVE-2024-1630 para esta vulnerabilidad.