Avisos de seguridad de Siemens de abril de 2022

Fecha de publicación: 12/04/2022

Importancia:
Crítica

Recursos afectados:

• SICAM A8000, versiones anteriores a 4.80 de:
  • CP-8031 (6MF2803-1AA00),
  • CP-8050 (6MF2805-0AA00).
• SIMATIC STEP 7 (TIA Portal):
  • todas las versiones 15,
  • versiones anteriores a 16 Update 5,
  • versiones anteriores a 17 Update 2.
• SCALANCE: consultar el listado completo de versiones y productos afectados en SSA-392912 y SSA-836527.
• Mendix Applications:
  • todas las versiones de Mendix 7;
  • todas las versiones de Mendix 8;
  • versiones anteriores a 9.12.0 en Mendix 9;
  • versiones anteriores a 9.6.3 en Mendix 9 (9.6).
• TIA Portal, versiones 15, 15.1, 16 y 17.
• SIMIT Simulation Platform, todas las versiones.
• SINETPLAN, todas las versiones.
• SIMATIC: consultar el listado completo de versiones y productos afectados en SSA-446448, SSA-557541, SSA-655554 y SSA-711829.
• Simcenter Femap, versiones anteriores a 2022.1.2.

Descripción:

Siemens ha publicado en su comunicado mensual varias actualizaciones de seguridad de diferentes productos.

Solución:

Las actualizaciones que corrigen las vulnerabilidades indicadas pueden obtenerse desde el panel de descarga de Siemens. Para los productos sin actualizaciones disponibles es recomendable aplicar las medidas de mitigación descritas en la sección de Referencias.

Detalle:

Siemens, en su comunicado mensual de parches de seguridad, ha emitido un total de 11 nuevos avisos de seguridad.

• La deserialización inadecuada del contenido suministrado por el usuario podría permitir a un atacante, no autenticado, ejecutar código arbitrario en el dispositivo con privilegios de system mediante el envío de objetos especialmente diseñados. Se ha asignado el identificador CVE-2022-23450 para esta vulnerabilidad crítica.
• La validación inadecuada del URI de las peticiones HTTP GET entrantes podría permitir a un atacante remoto, no autenticado, el bloqueo de los dispositivos afectados. Se ha asignado el identificador CVE-2022-26335 para esta vulnerabilidad crítica.

Los tipos de nuevas vulnerabilidades, no críticas, publicadas se corresponden con los siguientes:

• falta de autorización,
• control de acceso inadecuado,
• ejecución concurrente utilizando un recurso compartido con una sincronización inadecuada (condición de carrera),
• validación incorrecta de entrada,
• revelación de información a actores no autorizados,
• consumo de recursos no controlado (agotamiento de recursos),
• restricción de operaciones inapropiada dentro de los límites del búfer de la memoria,
• asignación incorrecta de permisos en un recurso crítico,
• elemento no controlado en la ruta de búsqueda,
• uso de valores insuficientemente aleatorios,
• desbordamiento de búfer basado en pila (stack),
• falsificación de petición en sitios cruzados (Cross-Site Request Forgery),
• neutralización inadecuada de las etiquetas HTML relacionadas con los scripts en una página web (XSS básico),
• copia de búfer sin comprobación del tamaño de entrada (desbordamiento de búfer clásico),
• lectura fuera de límites,
• escritura fuera de límites.

Los identificadores CVE asignados para estas vulnerabilidades, no críticas, pueden consultarse en la sección ‘vulnerability classification‘ de cada aviso de Siemens.

Etiquetas:
Actualización, Comunicaciones, Infraestructuras críticas, Privacidad, SCADA, Siemens, Vulnerabilidad