Fecha de publicación: 27/11/2018
Importancia:
Media
Recursos afectados:
- PLC modelos Modicon M340, Premium, Quantum y BMXNOR0200.
Descripción:
El investigador Jacob Baines de Tenable ha identificado varias vulnerabilidades de cambio de contraseña no verificado y validación de datos inadecuada que afectan a varios productos de Schneider Electric que podrían provocar que un atacante remoto no autenticado pueda ver, modificar y borrar contraseñas u ocasionar una denegación de servicio.
Solución:
Schneider Electric recomienda seguir las instrucciones recogidas en el manual de referencia Modicon Controllers Platform Cyber Security.
Como prevención, el servidor web está deshabilitado por defecto, debido a que los servicios web solo son necesarios para tareas concretas de monitorización, configuración y mantenimiento. Si se habilitan para estas tareas, deberían deshabilitarse en el momento que no sean necesarios.
Adicionalmente se recomienda a los usuarios:
- Configurar listas de control de acceso para restringir el acceso al servidor web a las direcciones IP autorizadas.
- Proteger el acceso a los productos Modicon con cortafuegos.
Detalle:
- Un atacante podría acceder a la función de cambio de contraseña del servidor web embebido sin la correspondiente verificación. Se ha reservado el identificador CVE-2018-7811 para esta vulnerabilidad.
- La inadecuada verificación en el acceso a la función de borrado de contraseña del servidor web embebido podría permitir a un atacante remoto no autenticado acceder a ella. Se ha reservado el identificador CVE-2018-7809 para esta vulnerabilidad.
- Un atacante podría modificar, mediante un XSS, una URL con código JavaScript que será ejecutado dentro del navegador del usuario y afectar al dispositivo que está ejecutando dicho navegador. Se ha reservado el identificador CVE-2018-7810 para esta vulnerabilidad.
- Mediante el envío de una URL manipulada a un usuario autenticado se lograría cambiar la contraseña en el servidor. Se ha reservado el identificador CVE-2018-7831 para esta vulnerabilidad.
- El envío de una petición HTTP especialmente modificada mediante una neutralización inadecuada de secuencias CRLF en cabeceras HTTP podría provocar una denegación de servicio de, aproximadamente, 1 minuto de duración por parte del atacante. Se ha reservado el identificador CVE-2018-7830 para esta vulnerabilidad.
Etiquetas:
Schneider Electric, Vulnerabilidad