Basque Cyber Security Centre - Centro Vasco de Ciberseguridad

Fecha de publicación: 15/10/2019

Importancia: Alta

Recursos afectados:

• PC Worx, versión 1.86 y anteriores.
• PC Worx Express, versión 1.86 y anteriores.
• Config , versión 1.86 y anteriores.

Descripción:

El equipo de 9sg Security Team, coordinado por NCCIC y [email protected], ha reportado múltiples vulnerabilidades, de tipo lectura fuera de límites y corrupción de memoria, debido a una ejecución de código remoto causada por una validación incorrecta de los datos de entrada.

Solución:

En la siguiente versión del producto se implementarán mejoras para corregir estos problemas, hasta la fecha se recomienda aplicar una serie de medidas para mitigar dichas vulnerabilidades:

• Al compartir ficheros de proyectos, utilizar servicios seguros para la transferencia.
• No compartir información sensible a través de correos sin encriptación.

Detalle:

Las modificaciones en proyectos de PC Works o Config permitirían a un atacante la ejecución de código remoto, debido a una validación incorrecta de los datos de entrada. El atacante necesita tener acceso al dispositivo con proyectos de Worx o Config para poder modificar los datos y ficheros del proyecto. El atacante cambia los ficheros originales por los modificados, causando así el ataque. Se ha reservado el identificador CVE-2019-16675 para esta vulnerabilidad.

Etiquetas: Actualización, Vulnerabilidad