Vulnerabilidades en productos Schneider Electric

Se han reportado 2 vulnerabilidades en productos Schneider Electric, que permitirían a un atacante realizar ejecución remota de código (RCE) o causar una condición de denegación de servicio (DoS).

Las vulnerabilidades reportadas se componen de 1 (una) de severidad “Crítica” y 1 (una) de severidad “Alta”. Las mismas se detallan a continuación:

  • CVE-2022-24324 de severidad crítica, con una puntuación asignada de 9.8. Esta vulnerabilidad se debe a una falla de desbordamiento de búfer. Un atacante podría realizar ejecución remota de código (RCE) mediante el envío de un paquete especialmente diseñado, derivando en la posible pérdida de información y control del sistema SCADA.
  • CVE-2022-0222 de severidad alta, con una puntuación asignada de 7.5. Esta vulnerabilidad se debe a una falla en el control del nivel de privilegios en Modicon M340. Un atacante remoto podría aprovechar esta vulnerabilidad para causar una condición de denegación de servicio (DoS) en el dispositivo.

Los productos afectados son:

  • IGSS versión 15.0.0.22073 y anteriores.
  • Modicon M340:
  • CPUs: BMXP34 versiones anteriores a 3.40;
  • todas las versiones de los módulos X80 Ethernet Communication.

Recomendamos instalar las actualizaciones correspondientes provistas por Schneider Electric:

Referencias:

Compartir: