Inyección de comandos en productos Festo

Fecha de publicación: 09/06/2022

Importancia:
Crítica

Recursos afectados:

• Controller CECC-X-M1, versiones 3.8.14 y anteriores;
• Controller CECC-X-M1, versión 4.0.14;
• Controller CECC-X-M1-MV,versiones 3.8.14 y anteriores;
• Controller CECC-X-M1-MV, versión 4.0.14;
• Controller CECC-X-M1-MV-S1,versiones 3.8.14 y anteriores;
• Controller CECC-X-M1-MV-S1, versión 4.0.14;
• Controller CECC-X-M1-YS-L1, versiones 3.8.14 y anteriores;
• Controller CECC-X-M1-YS-L2, versiones 3.8.14 y anteriores;
• Controller CECC-X-M1-Y-YJKP, versiones 3.8.14 y anteriores;
• Servo Press Kit YJKP, versiones 3.8.14 y anteriores;
• Servo Press Kit YJKP-, versiones 3.8.14 y anteriores;

Descripción:

Q. Kaiser, M. Illes, de ONEKEY Research Labs, ha reportado una vulnerabilidad a Festo, que ha publicado en coordinación con CERT@VDE, y podría permitir a un atacante, con acceso al servidor web, ejecutar comandos arbitrarios del sistema en el dispositivo, con privilegios de root.

Solución:

La vulnerabilidad se solucionará en la próxima versión de firmware, prevista para finales de junio de 2022.

Detalle:

En la familia de productos CECC-X-M1 de Festo Controller, las solicitudes POST del punto de acceso http ‘cecc-x-web-viewer-request-on’,’cecc-x-web-viewer-request-off’ y ‘cecc-x-acknerr-request’, no comprueban la sintaxis del puerto. Esto podría permitir a un atacante la ejecución no autorizada de comandos del sistema con privilegios de root, debido a la inyección de comandos de control de acceso inadecuados. Se han asignado los identificadores CVE-2022-30308, CVE-2022-30309, CVE-2022-30310 y CVE-2022-30311 para estas vulnerabilidades.

Etiquetas:
0day, Vulnerabilidad