Basque Cyber Security Centre - Centro Vasco de Ciberseguridad

Fecha de publicación: 15/04/2020

Importancia: Alta

Recursos afectados:

• SoMachine, SoMachine Basic y SoMachine Motion, todas las versiones;
• EcoStruxure Machine Expert y Basic, todas las versiones;
• Modicon M100/M200/M218/M221/M241/M251/M258 Logic Controller, todas las versiones;
• Vijeo Designer Basic, versión 1.1 HotFix 15 y anteriores;
• Vijeo Designer, versión 6.9 SP9 y anteriores;
• TriStation TS1131, versiones desde 4.0.0 hasta 4.9.0, y 4.10.0, ejecutándose en Windows NT, Windows XP y Windows 7;
• Tricon, versiones 10.0, 10.1, 10.2.x y 10.3.x;
• Tricon Communications Module, modelos 4351, 4352, 4351A/B y 4352A/B.

Descripción:

Seok Min Lim y Johnny Pan, de Trustwave, Rongkuan Ma, Shunkai Zhu y Peng Cheng, de 307Lab y de Zhejiang University, Yongjun Liu, de nsfocus y otro investigador independiente han reportado 8 vulnerabilidades a Schneider Electric, con severidades altas y medias, de neutralización inadecuada de elementos en la salida, validación insuficiente de la autenticidad de los datos, transmisión sin cifrar de datos sensibles, ruta de búsqueda no confiable, denegación de servicio y acceso inadecuado al host.

Solución:

Seguir las instrucciones de actualización y configuración descritas en la sección Remediation / Available Remediations de cada aviso del fabricante.

Detalle:

Un atacante que aproveche estas vulnerabilidades podría realizar las siguientes acciones:

• transferencia de código malicioso al controlador,
• ejecución de código malicioso,
• fuga de información sensible,
• ejecución de código arbitrario,
• enviar información confidencial en claro,
• denegación de servicio (DoS),
• acceso inadecuado a la máquina host;
• reseteo de módulos en condiciones de alto tráfico en la red.

Para estas vulnerabilidades, se han reservado los siguientes identificadores: CVE-2020-7489, CVE-2020-7487, CVE-2020-7488, CVE-2020-7490, CVE-2020-7483, CVE-2020-7484, CVE-2020-7485 y CVE-2020-7486.

Etiquetas: Actualización, Schneider Electric, Vulnerabilidad