0
0
A Siemens publicou seis novos avisos descrevendo 26 vulnerabilidades. A empresa informou aos clientes sobre duas falhas críticas nos produtos Siveillance Video que podem ser exploradas para execução de código remoto autenticado. Além disso, a multinacional alemã disse que o mecanismo de processamento local (LPE) do Scalence é afetado por um problema crítico e quatro de baixa gravidade. As falhas podem ser exploradas para acessar o sistema operacional com privilégios elevados, acessar dados e causar uma condição negação de serviço (DoS).
Várias vulnerabilidades críticas e de alta gravidade também foram corrigidas em componentes de terceiros usados pelo sistema de gerenciamento de rede Sinec, bem como problemas relacionados à injeção de comandos, credenciais codificadas, path traversal, acesso a informações e DoS foram resolvidos no gateway Simatic Cloud Connect 7 IoT.
A Siemens corrigiu ainda várias vulnerabilidades que podem ser exploradas usando arquivos especialmente criados para execução de código, divulgação de informações e ataques DoS em ferramentas do Solid Edge.
A empresa também notificou os clientes sobre um ataque de desvio de isolamento de cliente Wi-Fi que permite que um invasor intercepte o tráfego na camada MAC. O problema afeta os dispositivos Scalence, mas uma correção ainda não foi lançada. Para todas as outras vulnerabilidades, a Siemens lançou patches.
Já a Schneider Electric publicou quatro novos avisos que descrevem meia dúzia de vulnerabilidades. Um comunicado cobre uma vulnerabilidade de alta gravidade que afeta os medidores de energia PowerLogic. A falha permite que um invasor intercepte o tráfego de rede para obter informações confidenciais, modificar dados ou causar uma condição DoS.
Outro comunicado informa os clientes sobre uma vulnerabilidade do OPC Factory Server que pode ser explorada para obter informações confidenciais. Além disso, dois dos avisos da Schneider informam os clientes sobre as vulnerabilidades que afetam os produtos da Aveva — a Schneider adquiriu a Aveva no início deste ano. A Aveva publicou seus próprios avisos para as vulnerabilidades, que incluem problemas críticos e de alta gravidade, em março.
A gigante industrial francesa também notificou os clientes recentemente de que está ciente da disponibilidade pública de um exploit prova de conceito (PoC) direcionado aos sistemas de automação residencial e predial KNX. A exploração PoC sobre a qual Schneider está alertando, publicada em março, afeta os produtos spaceLYnk, Wiser for KNX e FellerLYnk da empresa. A exploração visa duas vulnerabilidades conhecidas: uma abordada pelo fornecedor em fevereiro de 2022 (CVE-2022-22809) e outra em agosto de 2020 (CVE-2020-7525).
A Schneider emitiu um aviso sobre os ataques KNX em 2021 e agora diz que “esta nova exploração traz mais atenção às mitigações recomendadas nesse boletim de segurança”.
FONTE: CISO ADVISOR