Vulnerabilidades reportadas en productos Siemens

Las vulnerabilidades reportadas se componen de 5 (cinco) de severidad “Crítica”, 16 (dieciséis) de severidad “Alta” y 2 (dos) de severidad “Media”. Las actualizaciones reportadas por Insyde BIOS abordan distintos fallos de seguridad que afectan a sus productos Siemens.

Entre ellas destacan:

  • CVE-2021-42554 de severidad crítica, con una puntuación de 9.8. Esta vulnerabilidad podría producir daños en la memoria SMM (System Management Mode) en FvbServicesRuntimeDxe, lo que permitiría a un atacante escribir datos fijos o predecibles en SMRAM. Si la explotación fuere exitosa, lograría un escalamiento de privilegios en el módulo SMM (System Management Mode).
  • CVE-2021-45969 de severidad crítica, con una puntuación de 9.8. Esta vulnerabilidad se debe a una falla en el módulo SMM (System Management Mode) que posee un controlador SWSMI que no comprueba ni valida suficientemente el puntero de búfer asignado (CommBuffer+8).
  • CVE-2021-45970 de severidad crítica, con una puntuación de 9.8. Esta vulnerabilidad se debe a una falla en el módulo SMM (System Management Mode) que registra un controlador SWSMI que no comprueba ni valida suficientemente el puntero de búfer asignado (el código de estado guardado en la ubicación CommBuffer+4).

Se puede acceder al listado completo de las vulnerabilidades subsanadas aquí.

Los productos de Insyde BIOS afectados de la línea Siemens en todas sus versiones son:

  • SIMATIC Field PG M5,
  • SIMATIC Field PG M6,
  • SIMATIC IPC127E,
  • SIMATIC IPC227G,
  • SIMATIC IPC277G,
  • SIMATIC IPC327G,
  • SIMATIC IPC377G,
  • SIMATIC IPC427E,
  • SIMATIC IPC477E,
  • SIMATIC IPC627E,
  • SIMATIC IPC647E,
  • SIMATIC IPC677E,
  • SIMATIC IPC847E,
  • SIMATIC ITP1000.

‎Recomendamos instalar la última versión estable del firmware proporcionada por el proveedor. Adicionalmente recomendamos utilizar los dispositivos en un entorno protegido, configurando el entorno de acuerdo con las directrices operativas de Siemens para la seguridad industrial, siguiendo las recomendaciones detalladas en el siguiente enlace:

Referencias:

Compartir: