Múltiples vulnerabilidades en PTC Axeda agent y Axeda Desktop Server

Fecha de publicación: 09/03/2022

Importancia:
Crítica

Recursos afectados:

• Axeda agent, todas las versiones;
• Axeda Desktop Server para Windows, todas las versiones;
• Philips:
  • Capsule Support Access Tool,
  • Respilink.

Descripción:

Yuval Shoshani y Elad Luz, de CyberMDX y Vedere Labs, han reportado 7 vulnerabilidades a PTC, 3 de severidad crítica, 3 altas y una media, que podrían permitir a un atacante obtener acceso completo al sistema, ejecución remota de código, lectura/cambio de configuración, acceso de lectura al sistema de archivos, acceso a información de registro o la denegación de servicio.

Solución:

PTC recomienda:

• actualizar a la versión 6.9.2 build 1049 o 6.9.3 build 1051 del agente Axeda cuando ejecute versiones anteriores del mismo;
• configurar el agente Axeda y el Axeda Desktop Server (ADS) para que sólo escuchen en la interfaz del host local 127.0.0.1. Consultar el artículo de conocimiento de PTC CS360255 para más información;
• proporcionar una contraseña única en el archivo AxedaDesktop.ini para cada unidad;
• nunca utilizar ERemoteServer en producción;
• asegurarse de eliminar el archivo ERemoteServer del dispositivo anfitrión;
• eliminar el archivo de instalación, por ejemplo Gateway_vs2017-en-us-x64-pc-winnt-vc14-6.9.3-1051.msi;
• cuando se ejecute en Windows o Linux, sólo permitir las conexiones a ERemoteServer desde hosts de confianza y bloquear todas las demás;
• cuando se ejecute el sistema operativo Windows, configurar las comunicaciones Localhost (127.0.0.1) entre ERemoteServer y Axeda Builder. Consultar el artículo de conocimiento de PTC CS360255 para más información;
• configurar el agente de Axeda para la información de autenticación requerida para iniciar sesión en la Utilidad de Despliegue de Axeda. Consulte el artículo de conocimiento de PTC CS360255 para más información.

PTC recomienda actualizar el Axeda Desktop Server (ADS) a la versión 6.9 build 215.

La configuración loopback-only sólo está disponible en la versión 6.9.1 y superiores.

En los siguientes enlaces puede obtenerse más información sobre los productos dependientes del agente Axeda y el servidor de escritorio Axeda afectados:

• Accuray;
• Bayer;
• Elekta;
• General Electric;
• Varian.

Detalle:

• El uso de contraseñas embebidas en la instalación de UltraVNC podría permitir a un atacante remoto obtener el control completo del sistema operativo anfitrión. Se ha asignado el identificador CVE-2022-25246 para esta vulnerabilidad.
• La falta de autenticación en una función crítica podría permitir a un atacante remoto, no autenticado, obtener acceso completo al sistema de archivos y la ejecución remota de código, mediante el envío de comandos a un puerto específico sin autenticación. Se ha asignado el identificador CVE-2022-25247 para esta vulnerabilidad.
• La falta de autenticación en una función crítica podría permitir a un atacante remoto, no autenticado, leer y modificar la configuración de los productos afectados, mediante el envío de mensajes XML especialmente diseñados a un puerto específico. Se ha asignado el identificador CVE-2022-25251 para esta vulnerabilidad.
• Para el resto de vulnerabilidades de severidad alta se han asignado los identificadores: CVE-2022-25249, CVE-2022-25250 y CVE-2022-25252.
• Para la vulnerabilidad de severidad media se ha asignado el identificador CVE-2022-25248.

Etiquetas:
Actualización, Infraestructuras críticas, IoT, Sanidad, Vulnerabilidad