Basque Cyber Security Centre - Centro Vasco de Ciberseguridad

Fecha de publicación: 27/11/2018

Importancia: Media

Recursos afectados:

• PLC modelos Modicon M340, Premium, Quantum y BMXNOR0200.

Descripción:

El investigador Jacob Baines de Tenable ha identificado varias vulnerabilidades de cambio de contraseña no verificado y validación de datos inadecuada que afectan a varios productos de Schneider Electric que podrían provocar que un atacante remoto no autenticado pueda ver, modificar y borrar contraseñas u ocasionar una denegación de servicio.

Solución:

Schneider Electric recomienda seguir las instrucciones recogidas en el manual de referencia Modicon Controllers Platform Cyber Security.

Como prevención, el servidor web está deshabilitado por defecto, debido a que los servicios web solo son necesarios para tareas concretas de monitorización, configuración y mantenimiento. Si se habilitan para estas tareas, deberían deshabilitarse en el momento que no sean necesarios.

Adicionalmente se recomienda a los usuarios:

• Configurar listas de control de acceso para restringir el acceso al servidor web a las direcciones IP autorizadas.
• Proteger el acceso a los productos Modicon con cortafuegos.

Detalle:

• Un atacante podría acceder a la función de cambio de contraseña del servidor web embebido sin la correspondiente verificación. Se ha reservado el identificador CVE-2018-7811 para esta vulnerabilidad.
• La inadecuada verificación en el acceso a la función de borrado de contraseña del servidor web embebido podría permitir a un atacante remoto no autenticado acceder a ella. Se ha reservado el identificador CVE-2018-7809 para esta vulnerabilidad.
• Un atacante podría modificar, mediante un XSS, una URL con código JavaScript que será ejecutado dentro del navegador del usuario y afectar al dispositivo que está ejecutando dicho navegador. Se ha reservado el identificador CVE-2018-7810 para esta vulnerabilidad.
• Mediante el envío de una URL manipulada a un usuario autenticado se lograría cambiar la contraseña en el servidor. Se ha reservado el identificador CVE-2018-7831 para esta vulnerabilidad.
• El envío de una petición HTTP especialmente modificada mediante una neutralización inadecuada de secuencias CRLF en cabeceras HTTP podría provocar una denegación de servicio de, aproximadamente, 1 minuto de duración por parte del atacante. Se ha reservado el identificador CVE-2018-7830 para esta vulnerabilidad.

Etiquetas: Schneider Electric, Vulnerabilidad