Tres nuevos avisos de SCI
Índice
- Múltiples vulnerabilidades en productos TELSAT marKoni
- Falta de autorización en PnPSCADA de SDG Technologies
- Múltiples vulnerabilidades en productos de Johnson Controls
Múltiples vulnerabilidades en productos TELSAT marKoni
Están afectadas las siguientes versiones de los transmisores FM marKoni de TELSAT:
- Markoni-D (Compact) FM Transmitters: todas las versiones anteriores a 2.0.1.
- Markoni-DH (Exciter+Amplifiers) FM Transmitters: todas las versiones anteriores a 2.0.1.
CISA descubrió una Prueba de Concepto (PoC) pública de la que era autor Gjoko Krstic, y se lo comunicó a marKoni. Se han reportado un total de 4 vulnerabilidades, de severidad crítica, cuya explotación podría permitir a un atacante manipular el producto para saltarse la autenticación o realizar la ejecución remota de código.
TELSAT marKoni recomienda actualizar a la versión 2.0.1.
- Los transmisores FM marKoni de TELSAT son vulnerables a una vulnerabilidad de inyección de comandos a través de la manipulación de la configuración y podría permitir a un atacante obtener acceso no autorizado al sistema con privilegios administrativos. Se ha asignado el identificador CVE-2024-39373 para esta vulnerabilidad.
- Los transmisores FM marKoni de TELSAT son vulnerables a un atacante que explota una cuenta de administrador oculta a la que se puede acceder mediante el uso de credenciales codificadas. Se ha asignado el identificador CVE-2024-39374 para esta vulnerabilidad.
- Los transmisores FM marKoni de TELSAT son vulnerables a que un atacante se salte la autenticación y obtenga privilegios de administrador. Se ha asignado el identificador CVE-2024-39375 para esta vulnerabilidad.
- Los transmisores FM marKoni de TELSAT son vulnerables a los usuarios que obtienen acceso no autorizado a información confidencial o realizan acciones más allá de los permisos designados. Se ha asignado el identificador CVE-2024-39376 para esta vulnerabilidad.
Falta de autorización en PnPSCADA de SDG Technologies
- PnPSCADA: versiones anteriores a la versión 4.
Momen Eldawakhly, de Samurai Digital Security Ltd, ha reportado una vulnerabilidad de severidad crítica, cuya explotación podría permitir a un atacante conectar varias entidades sin requerir la autenticación del sistema.
SDG Technologies recomienda que los usuarios utilicen la versión actualizada de PnPSCADA 4.
SDG Technologies PnPSCADA permite a un atacante remoto conectar varias entidades sin requerir la autenticación del sistema. Esta brecha podría conducir potencialmente a un control no autorizado, manipulación de datos y acceso a información sensible dentro del sistema SCADA.
Se ha asignado el identificador CVE-2024-2882 para esta vulnerabilidad.
Múltiples vulnerabilidades en productos de Johnson Controls
- Illustra Essentials Gen 4: todas las versiones hasta Illustra.Ess4.01.02.10.5982.
Sam Hanson, de Dragos, ha reportado 4 vulnerabilidades: 1 de severidad crítica y 3 de severidad media, cuya explotación podría permitir a un atacante inyectar comandos y recuperar y obtener acceso a credenciales de otros usuarios.
Johnson Controls recomienda que los usuarios actualicen las cámaras a Illustra.Ess4.01.02.13.6953.
En determinadas circunstancias, la interfaz web de las cámaras IP Illustra Essentials Gen 4 aceptará caracteres no relacionados con la entrada esperada, lo que podría permitir a un atacante inyectar comandos. Se ha asignado el identificador CVE-2024-32755 para esta vulnerabilidad.
El detalle del resto de vulnerabilidades no críticas se puede consultar en los avisos de las referencias.