Avisos de seguridad de Siemens de julio de 2022

Fecha de publicación: 12/07/2022

Importancia:
Crítica

Recursos afectados:

• Opcenter Quality:
  • V13.1, versiones anteriores a 13.1.20220624;
  • V13.2, versiones anteriores a 13.2.20220624.
• SINAMICS PERFECT HARMONY GH180 Drives, drivers fabricados desde 2015 y anteriores a 2022.
• Todas las versiones de las siguientes variantes de los módulos EN100 Ethernet:
  • DNP3 IP,
  • IEC 104,
  • IEC 61850,
  • Modbus TCP,
  • PROFINET IO.
• Distintas versiones y modelos de dispositivos RUGGEDCOM ROS listados en SSA-840800.
• JT2Go, versiones anteriores a 13.3.0.5.
• Teamcenter Visualization:
  • V12.4, todas las versiones;
  • V13.2, todas las versiones;
  • V13.3, versiones anteriores a 13.3.0.5;
  • V14.0, todas las versiones.
• Mendix Excel Importer Module:
  • Mendix 8 compatible, versiones anteriores a 9.2.2;
  • Mendix 9 compatible, versiones anteriores a 10.1.2.
• Distintas versiones y modelos de dispositivos RUGGEDCOM ROX listados en SSA-599506.
• SIMATIC eaSie Core Package (6DL5424-0AX00-0AV8), versiones anteriores a 22.00.
• Distintas versiones y modelos de dispositivos SIMATIC y SIPLUS listados en SSA-517377 y SSA-348662.
• Distintas versiones y modelos de dispositivos Mendix Applications listados en SSA-610768, SSA-492173 y SSA-433782.
• Distintas versiones y modelos de dispositivos SICAM listados en SSA-491621 y SSA-225578.
• Simcenter Femap, todas las versiones.
• PADS Standard/Plus Viewer, todas las versiones.
• Distintas versiones y modelos de dispositivos SCALANCE X Switch listados en SSA-310038.
• Parasolid:
  • V33.1, todas las versiones;
  • V34.0, versiones anteriores a 34.0.250;
  • V34.1, versiones anteriores a 34.1.233.

Descripción:

Siemens ha publicado en su comunicado mensual varias actualizaciones de seguridad de diferentes productos.

Solución:

Las actualizaciones que corrigen las vulnerabilidades indicadas pueden obtenerse desde el panel de descarga de Siemens. Para los productos sin actualizaciones disponibles es recomendable aplicar las medidas de mitigación descritas en la sección de Referencias.

Detalle:

Siemens, en su comunicado mensual de parches de seguridad, ha emitido un total de 19 nuevos avisos de seguridad, recopilando un total de 5 vulnerabilidades críticas, 30 altas, 4 medias y 7 bajas.

Las vulnerabilidades críticas se describen a continuación:

• Las aplicaciones afectadas no validan correctamente la información de inicio de sesión durante la autenticación, lo que podría conducir a una condición de denegación de servicio (DoS) para los usuarios o permitir que atacantes remotos no autenticados inicien sesión sin credenciales. Se ha asignado el identificador CVE-2022-33736 para esta vulnerabilidad.
• Existe una vulnerabilidad de DHCP en Wind River VxWorks (versiones anteriores a 6.5) que podría causar un desbordamiento de memoria dinámica (heap). Se ha asignado el identificador CVE-2021-29998 para esta vulnerabilidad.
• El servicio MQTT subyacente de los sistemas afectados no realiza la autenticación en la configuración por defecto, lo que podría permitir a un atacante remoto no autenticado enviar mensajes arbitrarios al servicio y, por tanto, emitir peticiones arbitrarias en el sistema afectado. Se ha asignado el identificador CVE-2021-44222 para esta vulnerabilidad.
• La aplicación carece de una validación adecuada de los datos suministrados por el usuario al analizar mensajes específicos, lo que podría dar lugar a un desbordamiento de memoria dinámica (heap). Un atacante podría aprovechar esta vulnerabilidad para ejecutar código en el contexto del dispositivo. Se ha asignado el identificador CVE-2022-34819 para esta vulnerabilidad.
• Los dispositivos afectados no validan correctamente la URI de las solicitudes HTTP GET entrantes, lo que podría permitir a un atacante remoto no autenticado bloquear los dispositivos afectados. Se ha asignado el identificador CVE-2022-26649 para esta vulnerabilidad.

El resto de identificadores CVE de vulnerabilidades no críticas se pueden consultar en la sección de Referencias.

Etiquetas:
Actualización, Comunicaciones, Infraestructuras críticas, Privacidad, SCADA, Siemens, Virtualización, Vulnerabilidad