Global Preloader
Vulnerabilidad
(02/Aug/2017) Se encontraron vulnerabilidades críticas en la herramienta Mitsubishi MHI

Se encontraron vulnerabilidades críticas en la herramienta Mitsubishi MHI

ICS-CERT y Zero Day Initiative (ZDI) de Trend Micro han revelado los detalles de varias vulnerabilidades críticas que afectan a E-Designer de Mitsubishi Electric, una herramienta utilizada para la programación de interfaces E1000 hombre-máquina (HMI) .

El investigador de seguridad Andrea Micalizzi, también conocido como "rgod", descubrió que la versión 7.52 Build 344 de E-Designer está afectada por varias vulnerabilidades que pueden ser explotadas para la ejecución remota de código y ataques de negación de servicio (DoS).

El experto identificó tres tipos de fallas: los desbordamientos de búfer basados ​​en pila (CVE-2017-9638), los desbordamientos de búfer basados ​​en heap (CVE-2017-9636) y los errores de escritura fuera de límites (CVE-2017-9634).

Micalizzi encontró un total de seis desbordamientos de búfer de pila y cinco desbordamientos de búfer de heap que afectan a varios componentes inicializados durante el procesamiento de un archivo de configuración del controlador.

El problema es que el proceso no logra validar correctamente la longitud de los datos suministrados por el usuario antes de copiarlos en un búfer de longitud fija, lo que permite a un atacante ejecutar código arbitrario en el contexto del administrador. Para que el ataque funcione, el hacker debe convencer al usuario objetivo de que abra un archivo malicioso o una página web.

Las dos fallas de escritura fuera de límites encontradas por el investigador se deben a la forma en que se procesan ciertas secciones de un archivo de especificación de proyecto (.mpa). Estas fallas también pueden conducir a la ejecución remota de código.

ZDI ha publicado avisos separados para cada uno de los 13 agujeros de seguridad. Todas las vulnerabilidades han sido clasificadas como críticas basadas en puntuaciones CVSS que exceden 9.

Según ZDI, las fueron reportadas a Mitsubishi a finales de mayo de 2016, pero los avisos sólo se hicieron públicas este mes.

El fabricante no ha publicado parches para E-Designer, ya que el producto ha sido descontinuado. En cambio, ha aconsejado a los clientes que reemplacen a HMI de E-Designer con interfaces creadas con el nuevo producto de la empresa, GT Works, o que usen E-Designer en una red segura que esté detrás de un firewall.

ICS-CERT recomienda colocar sistemas de control detrás del Firewall y aislarlos de la red de negocios, y usar VPNs cuando se requiera acceso remoto.