Avisos de seguridad de Siemens de mayo de 2022

Fecha de publicación: 10/05/2022

Importancia:
Crítica

Recursos afectados:

• Simcenter Femap, versiones anteriores a 2022.2;
• distintas versiones de los modelos SICAM P850 y P855 listados en SSA-165073;
• SIMATIC NET PC Software:
  • 14: versiones anteriores a 14 SP1;
  • 15: todas las versiones;
  • 16: todas las versiones;
  • 17: versiones anteriores a 17 SP1.
• SITOP Manager, todas las versiones;
• TeleControl Server Basic 3, todas las versiones;
• SIMATIC Process Historian OPC UA Server, versiones anteriores a 2020 SP1;
• todas las versiones de SIMATIC:
  • WinCC,
  • WinCC Runtime Professional,
  • WinCC Unified Scada Runtime.
• SIMATIC PCS 7:
  • 9.0 y anteriores, todas las versiones;
  • 9.1, todas las versiones.
• Versiones anteriores a 1.5.18 de SIMATIC CP:
  • 442-1 RNA (6GK7442-1RX00- 0XE0);
  • 443-1 RNA (6GK7443-1RX00- 0XE0).
• JT2Go, versiones anteriores a 13.3.0.3;
• Teamcenter Visualization:
  • 13.3, versiones anteriores a 13.3.0.3;
  • 14.0, versiones anteriores a 14.0.0.1.
• Desigo:
  • DXR2, versiones anteriores a 01.21.142.5-22;
  • PXC3, versiones anteriores a 01.21.142.4-18;
  • PXC4 y PXC5, versiones anteriores a 02.20.142.10-10884.
• Familia de productos LOGO! CMR, todas las versiones;
• Versiones anteriores a 7.1 de RUGGEDCOM RM1224 LTE(4G):
  • EU (6GK6108-4AM00-2BA2);
  • NAM (6GK6108-4AM00-2DA2).
• Distintos modelos y versiones de SCALANCE y SIMATIC listados en SSA-732250;
• SIPLUS NET CP 1543-1 (6AG1543-1AX00-2XE0), versiones anteriores a 3.0.22;
• OpenV2G, versión 0.9.4;
• Teamcenter:
  • 12.4: versiones anteriores a 12.4.0.13;
  • 13.0: versiones anteriores a 13.0.0.9;
  • 13.1: todas las versiones;
  • 13.2: versiones anteriores a 13.2.0.8;
  • 13.3: versiones anteriores a 13.3.0.3;
  • 14.0: todas las versiones.

Descripción:

Siemens ha publicado en su comunicado mensual varias actualizaciones de seguridad de diferentes productos.

Solución:

Las actualizaciones que corrigen las vulnerabilidades indicadas pueden obtenerse desde el panel de descarga de Siemens. Para los productos sin actualizaciones disponibles es recomendable aplicar las medidas de mitigación descritas en la sección de Referencias.

Detalle:

Siemens, en su comunicado mensual de parches de seguridad, ha emitido un total de 12 nuevos avisos de seguridad.

• Los dispositivos afectados no validan correctamente los parámetros de ciertas peticiones GET y POST, lo que podría permitir a un atacante no autenticado poner el dispositivo en un estado de denegación de servicio o controlar el contador del programa y, por tanto, ejecutar código arbitrario en el dispositivo. Se ha asignado el identificador CVE-2022-29873 para esta vulnerabilidad crítica.
• La función JavaScript «addCell» no sanea correctamente la entrada controlable por el usuario antes de incluirla en el cuerpo XML generado del documento de informe XLS, de modo que es posible inyectar contenido arbitrario (por ejemplo, etiquetas XML) en el archivo generado. Un atacante con privilegios restringidos, al envenenar cualquier contenido utilizado para generar informes XLS, podría aprovechar la aplicación para enviar archivos maliciosos contra usuarios con mayores privilegios y obtener la ejecución remota de código (RCE) contra la estación de trabajo del administrador. Se ha asignado el identificador CVE-2022-24039 para esta vulnerabilidad crítica.

Los tipos de nuevas vulnerabilidades, no críticas, publicadas se corresponden con los siguientes:

• escritura fuera de límites,
• neutralización inadecuada de los delimitadores de parámetros o argumentos,
• transmisión de información sensible en texto plano,
• neutralización inadecuada de entradas durante la generación de páginas web (Cross-Site Scripting),
• falta de autentificación en función crítica,
• anulación de la autenticación mediante captura-repetición,
• autenticación inadecuada,
• desreferencia del puntero nulo,
• restricción inadecuada de las operaciones dentro de los límites de un búfer de memoria,
• inicialización por defecto insegura del recurso,
• consumo incontrolado de recursos,
• bucle con condición de salida inalcanzable (bucle infinito),
• desbordamiento de enteros a desbordamiento de búfer,
• doble liberación,
• acceso al puntero no inicializado,
• uso del hash de la contraseña con un esfuerzo computacional insuficiente,
• tiempo de expiración de sesión insuficiente,
• discrepancia observable,
• restricción inapropiada de intentos de autenticación excesivos,
• cookie sensible en sesión HTTPS sin atributo ‘secure’,
• excepción no detectada,
• uso de memoria previamente liberada,
• utilización de un nombre o una referencia incorrecta,
• copia del búfer sin comprobar el tamaño de la entrada (desbordamiento de búfer clásico),
• desbordamiento de búfer basado en pila (stack),
• restricción inadecuada de la referencia de entidad externa XML.

Etiquetas:
Actualización, Infraestructuras críticas, SCADA, Siemens, Vulnerabilidad