Múltiples vulnerabilidades en productos Phoenix Contact

Fecha de publicación: 14/02/2023

Importancia:
Crítica

Recursos afectados:

• Versiones anteriores a 2023.0.0 LTS de los siguientes productos:
  • AXC F 1152,
  • AXC F 2152,
  • AXC F 3152,
  • BPC 9102S,
  • RFC 4072R,
  • RFC 4072S.
• Versiones 04.15.00.01 y anteriores de ENERGY AXC PU.

Descripción:

Phoenix Contact, coordinado y con el soporte del CERT@CVE, ha publicado 64 vulnerabilidades que afectan a componentes Linux instalados en productos PLCnext Control. La explotación de estas vulnerabilidades, clasificadas en 6 de severidad crítica, 45 altas, 12 medias y 1 baja, podría afectar a la disponibilidad, integridad o confidencialidad de los productos afectados.

Solución:

• Actualizar a la última versión de firmware 2023.0.0 LTS disponible para los siguientes productos:
  • AXC F 1152,
  • AXC F 2152,
  • AXC F 3152,
  • BPC 9102S,
  • RFC 4072R,
  • RFC 4072S.
• Actualizar ENERGY AXC PU a la versión 04.16.00.00.

Detalle:

Los tipos de vulnerabilidades de severidad crítica se listan a continuación:

• permisos por defecto incorrectos (CVE-2022-32207);
• escritura fuera de límites (CVE-2022-37434);
• desbordamiento de búfer de memoria (CVE-2022-2207);
• modificación de memoria no contemplada (CVE-2022-42915);
• limitación incorrecta de una ruta a un directorio restringido (CVE-2022-1664);
• uso de memoria previamente liberada (CVE-2022-40674).

El resto de identificadores CVE para las vulnerabilidades no críticas se pueden consultar en el aviso del CERT@VDE.

Etiquetas:
Actualización, Infraestructuras críticas, Linux, Vulnerabilidad