La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha publicado varios avisos de Sistemas de control industrial (ICS) que advierten sobre vulnerabilidades críticas que afectan a productos de fabricantes como Siemens, Sewio, InHand Networks o Sauter Controls.
El problema de mayor gravedad sería el relativo a RTLS Studio de Sewio. El organismo alerta de que la falla de seguridad puede ser aprovechada por un atacante para "obtener acceso no autorizado al servidor, alterar información, crear una condición de denegación de servicio, obtener privilegios escalados y ejecutar código arbitrario".
Entre las vulnerabilidades críticas detectadas está la CVE-2022-45444 (con una puntuación CVSS de 10.0), que incluye un caso de contraseñas codificadas para usuarios seleccionados en la base de datos de la aplicación que potencialmente otorgan acceso ilimitado a atacantes remotos.
Igualmente son notables dos fallas de inyección de comandos, CVE-2022-47911 y CVE-2022-43483 y una vulnerabilidad de escritura fuera de los límites CVE-2022-41989, que podría resultar en condición de denegación de servicio o ejecución de código. Todas ellas cuentan con una puntuación CSS de 9.1.
Las vulnerabilidades afectan a RTLS Studio, comprendiendo desde la versión 2.0.0 hasta la versión 2.6.2. El organismo de ciberseguridad recomienda a los usuarios que actualicen a la versión 3.0.0 o posterior.
En una segunda alerta CISA ha advertido de varios problemas de seguridad encontrados en InHand Networks InRouter 302 e InRouter 615 que podrían provocar la inyección de comandos, la divulgación de información y la ejecución de código. Se habla de la vulnerabilidad CVE-2023-22600, con una puntuación también de 10.0.
"Si se encadenan correctamente, estas vulnerabilidades podrían resultar en que un usuario remoto no autorizado comprometa por completo todos los dispositivos InHand Networks administrados en la nube accesibles por la nube", avisa la agencia.
Otras marcas también tienen vulnerabilidades preocupantes
También se han revelado vulnerabilidades de seguridad en Sauter Controls Nova 220, Nova 230, Nova 106 y moduNet300 que podrían permitir la visibilidad no autorizada de información confidencial (CVE-2023-0053, puntuación CVSS: 7.5) y la ejecución remota de código (CVE-2023-0052, puntuación CVSS: 9.8).
Sin embargo, la empresa de automatización con sede en Suiza no planea lanzar soluciones para los problemas identificados debido a que la línea de productos ya no es compatible.
Por último, la agencia de seguridad detalló una falla de secuencias de comandos en sitios cruzados (XSS) en el equipo Siemens Mendix SAML (CVE-2022-46823, puntuación CVSS: 9.3) que podría permitir que un actor de amenazas obtenga información confidencial al engañar a los usuarios para que hagan clic en un código especialmente diseñado.