Configuración de Cookies

Cookies técnicas

Activas
ver cookies

Son aquellas que permiten al usuario la navegación a través de la página web y la utilización de las diferentes opciones o servicios que en ella existan, incluyendo aquellas que el editor utiliza para permitir la gestión y operativa de la página web y habilitar sus funciones y servicios.

Cookies analíticas

Inactivas
ver cookies

Son aquellas que permiten al responsable de las mismas el seguimiento y análisis del comportamiento de los usuarios del sitio web. La información recogida mediante este tipo de cookies se utiliza en la medición de la actividad del sitio web, con el fin de introducir mejoras en función del análisis de los datos de uso que hacen los usuarios del servicio.

AVISO DE COOKIES

Esta página web, propiedad de SPRI, utiliza cookies propias y de terceros con la finalidad de permitir su navegación, elaborar información estadística, analizar sus hábitos de navegación y remitirle publicidad en función de los mismos. Puedes hacer clic en Aceptar para permitir el uso de todas las cookies o puedes elegir qué tipo de cookies deseas aceptar o rechazar mediante la opción Configurar Cookies. También, puedes obtener más información en nuestra Política de Cookies.Configurar cookiesAceptar

Basque Cyber Security Centre - Centro Vasco de Ciberseguridad

Múltiples vulnerabilidades en OSIsoft PI System

Fecha de publicación: 13/05/2020

Importancia: Alta

Recursos afectados:

  • Aplicaciones usando PI Asset Framework (AF) Client, versiones anteriores e incluyendo PI AF Client 2018 SP3 Patch 1, versión 2.10.7.283;
  • Aplicaciones usando PI Software Development Kit (SDK), versiones anteriores e incluyendo PI SDK 2018 SP1, versión 1.4.7.602;
  • PI API para Windows Integrated Security, versiones anteriores e incluyendo 2.0.2.5;
  • PI API, versiones anteriores e incluyendo 1.6.8.26;
  • PI Buffer Subsystem, versiones anteriores e incluyendo 4.8.0.18;
  • PI Connector para BACnet, versiones anteriores e incluyendo 1.2.0.6;
  • PI Connector para CygNet, versiones anteriores e incluyendo 1.4.0.17;
  • PI Connector para DC Systems RTscada, versiones anteriores e incluyendo 1.2.0.42;
  • PI Connector para Ethernet/IP, versiones anteriores e incluyendo 1.1.0.10;
  • PI Connector para HART-IP, versiones anteriores e incluyendo 1.3.0.1;
  • PI Connector para Ping, versiones anteriores e incluyendo 1.0.0.54;
  • PI Connector para Wonderware Historian, versiones anteriores e incluyendo 1.5.0.88;
  • PI Connector Relay, versiones anteriores e incluyendo 2.5.19.0;
  • PI Data Archive, versiones anteriores e incluyendo PI Data Archive 2018 SP3, versión 3.4.430.460;
  • PI Data Collection Manager, versiones anteriores e incluyendo 2.5.19.0;
  • PI Integrator para Business Analytics, versiones anteriores e incluyendo 2018 R2 SP1, versión 2.2.0.183;
  • PI Interface Configuration Utility (ICU), versiones anteriores e incluyendo 1.5.0.7;
  • PI a OCS, versiones anteriores e incluyendo 1.1.36.0;
  • PI Vision, versión 2019 y anteriores;
  • PI Manual Logger, versión 2017 R2 Patch 1 y anteriores;
  • RtReports, versión 4.1 y anteriores.

Descripción:

William Knowles, consultor senior de seguridad en Applied Risk, trabajando conjuntamente con OSIsoft, ha reportado 10 vulnerabilidades al CISA, 5 de severidad alta y 5 medias. Los tipos de vulnerabilidades detectadas son elemento de ruta de búsqueda no controlada, verificación incorrecta de firma criptográfica, permisos predeterminados incorrectos, excepción no capturada, desreferencia de puntero nulo, validación de entrada incorrecta, XSS e inserción de información confidencial en el archivo de registro.

Solución:

Consultar el punto 4 de mitigaciones del aviso de CISA para obtener las medidas concretas de seguridad para cada vulnerabilidad.

Detalle:

  • Un atacante local puede modificar una ruta de búsqueda y utilizar un binario para tomar el control del equipo local en el nivel de privilegio del sistema de Windows, lo que resultaría en la divulgación, eliminación o modificación de información no autorizada. Se ha reservado el identificador CVE-2020-10610 para esta vulnerabilidad.
  • Un atacante local puede utilizar un binario y omitir una verificación de integridad del código para cargar las bibliotecas de PI System y, de esta manera, divulgar, eliminar o modificar información no autorizada. Se ha reservado el identificador CVE-2020-10608 para esta vulnerabilidad.
  • Un atacante local puede explotar los permisos incorrectos establecidos por el producto afectado. Esta vulnerabilidad podría permitir la divulgación, eliminación o modificación de información no autorizada si el equipo local también procesa datos de PI System de otros usuarios. Se ha reservado el identificador CVE-2020-10606 para esta vulnerabilidad.
  • Un atacante remoto, no autenticado, podría bloquear el servicio de PI Network Manager a través de solicitudes especialmente diseñadas, lo que podría provocar el bloqueo de conexiones y consultas a PI Data Archive. Se ha reservado el identificador CVE-2020-10604 para esta vulnerabilidad.
  • Un atacante remoto autenticado podría bloquear PI Network Manager debido a una condición de carrera. Esto podría provocar el bloqueo de conexiones y consultas a PI Data Archive. Se ha reservado el identificador CVE-2020-10602 para esta vulnerabilidad.
  • Un atacante remoto, autenticado, podría bloquear PI Archive Subsystem cuando el subsistema funciona bajo presión de memoria. Esta situación podría generar un bloqueo de consultas a PI Data Archive. Se ha reservado el identificador CVE-2020-10600 para esta vulnerabilidad.
  • Un atacante remoto, autenticado, podría agregar o modificar las propiedades internas del objeto, lo que daría como resultado un comportamiento indefinido. Se han asignado los identificadores CVE-2019-10768 y CVE-2019-11358 para esta vulnerabilidad.
  • Un atacante remoto, autenticado, podría usar URL, especialmente diseñadas, para enviar a un usuario que utilice PI Vision móvil a una página web vulnerable, debido a un problema en un componente de terceros. Se ha reservado el identificador CVE-2020-10600 para esta vulnerabilidad.
  • Un atacante remoto, autenticado, con acceso de escritura a las bases de datos de PI Vision, podría inyectar código en una pantalla, posibilitando la divulgación, eliminación o modificación de información no autorizada si un usuario utiliza la pantalla infectada. Se ha reservado el identificador CVE-2020-10614 para esta vulnerabilidad.
  • Un atacante local podría consultar información confidencial en archivos de registro cuando las cuentas de servicio se personalizan durante la instalación o actualización de PI Vision. Se ha asignado el identificador CVE-2019-18244 para esta vulnerabilidad.

Etiquetas: Vulnerabilidad