Credenciales en texto claro en productos VARTA

Fecha de publicación: 23/03/2023

Importancia:
Crítica

Recursos afectados:

• Element backup, versiones anteriores a F21000400.
• Versiones anteriores a 2e.3.8.0 de los productos:
  • Element S1,
  • Element S2,
  • Element S3,
  • One L/XL.
• Element S3, versiones anteriores a 2e.4.4.0.
• Element S4, versiones anteriores a D21010400.
• Pulse (sin incluir pulse neo), versiones anteriores a C21010800.

Descripción:

El investigador de seguridad Andreas Dolp, con la coordinación y soporte del CERT@VDE, ha identificado una vulnerabilidad crítica en distintos productos de VARTA que ha reportado al propio fabricante. La explotación de esta vulnerabilidad podría permitir a un atacante acceder al backend de la web para leer y modificar archivos.

Solución:

Se liberará una versión correctora por OTA. El despliegue de Element backup comenzará a finales del primer trimestre de 2023, seguido de Element S4.

Hasta entonces, se recomienda restringir el tráfico HTTP al sistema de almacenamiento de energía utilizando un firewall u otras medidas de seguridad a nivel de red.

Detalle:

Las credenciales codificadas en texto claro en la interfaz de usuario de la web de varios productos VARTA podrían permitir a un atacante no autorizado obtener acceso administrativo al backend con permisos de lectura y escritura. Se ha asignado el identificador CVE-2022-22512 para esta vulnerabilidad.

Etiquetas:
Actualización, Infraestructuras críticas, Vulnerabilidad