El primer ICS Patch Tuesday de 2023 trae una docena de avisos de seguridad de Siemens y Schneider Electric, que abordan un total de 27 vulnerabilidades.
Siemens
Siemens ha publicado seis nuevos avisos que describen un total de 20 vulnerabilidades. Hay actualizaciones de seguridad disponibles para muchos de los productos afectados, pero algunos no recibirán parches.
Basado en el puntaje de CVSS, el aviso más importante describe una docena de fallas en Sinec INS (Servicios de red de infraestructura).
Los agujeros de seguridad, todos calificados como “críticos” o “de alta gravedad”, podrían permitir que un atacante lea y escriba
archivos arbitrarios, que en última instancia podrían conducir a la ejecución de código malicioso en el dispositivo. Algunas de las vulnerabilidades afectan a los componentes de terceros.
Otro aviso describe una vulnerabilidad crítica de cross-site scripting (XSS) reflejada en el módulo Mendix SAML. Un atacante puede explotar la debilidad para obtener información confidencial engañando al usuario objetivo para que haga clic en un enlace, pero la explotación solo es posible en ciertas configuraciones no predeterminadas.
Siemens ha informado a los clientes sobre dos vulnerabilidades de alta gravedad en Automation License Manager. Un problema puede permitir que un atacante no autenticado cambie el nombre y mueva archivos de forma remota, mientras que el otro puede explotarse para la ejecución remota de código si está encadenado con la primera vulnerabilidad.
Las vulnerabilidades de ejecución remota de código se han parcheado en JT Open Toolkit, JT Utilities y Solid Edge. La explotación implica hacer que el usuario objetivo abra un archivo especialmente diseñado.
Los investigadores han encontrado un problema de hardware en las CPU S7-1500 que puede permitir que un atacante con acceso físico a un dispositivo reemplace la imagen de arranque y ejecute código arbitrario.
“Siemens ha lanzado nuevas versiones de hardware para varios tipos de CPU de la familia de productos S7-1500 en los que se corrige esta vulnerabilidad y está trabajando en nuevas versiones de hardware para los tipos de PLC restantes para abordar esta vulnerabilidad por completo”, dijo Siemens.
Schneider Electric
Schneider Electric también ha publicado seis nuevos avisos, pero solo cubren un total de siete vulnerabilidades.
La empresa ha informado a los clientes sobre la disponibilidad de parches para vulnerabilidades críticas y de alta gravedad en el producto EcoStruxure Geo SCADA Expert, que pueden explotarse para ataques DoS y obtener información confidencial.
En su software EcoStruxure Power Operation y Power SCADA Operation, el gigante industrial encontró un problema de alta gravedad que puede explotarse para ataques DoS.
EcoStruxure Power SCADA Anywhere se ve afectado por una falla de alta gravedad que se puede aprovechar para la ejecución de comandos del sistema operativo, pero la explotación requiere autenticación.
EcoStruxure Control Expert, EcoStruxure Process Expert y Modicon PLC se ven afectados por una vulnerabilidad que podría permitir la ejecución de código arbitrario y ataques DoS utilizando archivos de proyecto especialmente diseñados. Estos productos también se ven afectados por una falla de omisión de autenticación.
Por último, el producto EcoStruxure Machine Expert HVAC se ve afectado por un problema de divulgación de información de gravedad media.
Fuente: securityweek.com
