Los fabricantes Siemens y Schneider Electric han publicado esta semana 16 avisos que comprenden aproximadamente unas 200 vulnerabilidades que competerían a sus productos industriales.
En principio estos defectos estarían vinculados a componentes de terceros de sus equipos y dispositivos, según se hace eco Security Week.
En el caso de Siemens esta ha informado a los clientes de la existencia de 108 vulnerabilidades del kernel de Linux que afectan a Simatic S7-1500, específicamente a la plataforma multifuncional (MFP) TM. En este sentido, la empresa está preparando parches para las fallas y, mientras tanto, ha proporcionado soluciones y mitigaciones.
Por otro lado, la compañía alemana ha notificado a sus clientes respecto a 54 vulnerabilidades halladas en la BIOS del mismo producto.
En este caso, los agujeros de seguridad afectan a varios componentes de terceros, incluyendo el kernel de Linux, las bibliotecas, BusyBox y los procesadores Intel. Siemens también está preparando parches para estas vulnerabilidades.
Otro aviso independiente alerta de casi dos docenas de errores en los productos de media tensión de la marca. También aquí los problemas están relacionados con componentes de terceros y parece que se han publicado correcciones.
Además, Siemens ha resuelto vulnerabilidades críticas de ejecución remota de código en el producto Simatic Step 7 y los dispositivos Sicam Q200.
La firma germana ya ha solventado algunas fallas de alta gravedad en los productos Solid Edge, Simatic WinCC, Teamcenter Visualization y JT2Go, y Sicam A8000. Los agujeros de seguridad aquí podrían conducir a la ejecución de código arbitrario, ataques DoS, escalada de privilegios y acceso no autorizado.
El TIA portal tampoco se ha librado y muestra algunas fallas de gravedad media.
Otras vulnerabilidades
La francesa Schneider Electric ha publicado cuatro nuevos avisos que comprender un total de cinco vulnerabilidades.
Uno de los avisos informa a los clientes sobre dos fallas de alta gravedad que afectan su sistema de control distribuido (DCS) de Foxboro. Aquí un atacante puede explotarlos para ataques DoS, escalada de privilegios y ejecución de código del kernel.
Además, el producto Foxboro SCADA está afectado por una vulnerabilidad que expone las credenciales de texto claro. El problema existe en el componente Aveva InTouch, donde se reparó originalmente en 2021.
Para concluir, Schneider también advirtió a las organizaciones que los atacantes podrían lograr la ejecución de código arbitrario al explotar vulnerabilidades en sus productos EcoStruxure Operator Terminal Expert, Pro-face BLUEm y IGSS (Interactive Graphical SCADA System). La explotación implica engañar al usuario objetivo para que abra un archivo de proyecto especialmente diseñado.