Global Preloader
Vulnerabilidad
(06/Mar/2018) Vulnerabilidades en productos HMI, PLC

Vulnerabilidades en productos HMI, PLC

Delta Electronics, con sede en Taiwán, ha solucionado varias vulnerabilidades en dos de los productos de automatización industrial de la empresa, incluidos defectos que pueden aprovecharse para la ejecución remota de código.

Un investigador que utiliza el apodo en línea "Axt" informó a Delta a través de Zero Day Initiative (ZDI) y ICS-CERT de Trend Micro que su producto WPLSoft, un software de programación para controladores lógicos programables (PLC), se ve afectado por varios tipos de vulnerabilidades.

El aviso de ICS-CERT describe tres tipos de fallas que pueden permitir la ejecución de código arbitrario en el contexto del proceso actual o ataques de denegación de servicio (DoS), específicamente desbordamiento de búfer basado en pila, desbordamiento de búfer basado en el montón y fuera de -bordes escribir problemas. Los agujeros de seguridad han sido clasificados como de alta severidad y se rastrean como CVE-2018-7494, CVE-2018-7507 y CVE-2018-7509.

ZDI ha publicado un total de nueve avisos, uno para cada variación de estos defectos. Según la empresa, las vulnerabilidades están relacionadas con la forma en que la aplicación analiza los archivos .dvp y pueden explotarse haciendo que el usuario objetivo abra un archivo o página web especialmente diseñada.

ZDI dijo que informó los agujeros de seguridad a Delta a través de ICS-CERT en febrero de 2017. Los avisos de la compañía sugieren que el proveedor intentó liberar algunos parches el verano pasado, pero no corrigieron las vulnerabilidades. ZDI publicó sus avisos en agosto de 2017 con el estado "0Day".

ICS-CERT informó esta semana que las vulnerabilidades fueron parcheadas por Delta con el lanzamiento de WPLSoft V2.46.0 , que de acuerdo con el sitio del proveedor se hizo disponible el 2 de febrero.

Una advertencia separada publicada esta semana por ICS-CERT describe una vulnerabilidad de gravedad media encontrada por el investigador Ghirmay Desta en el producto de interfaz hombre-máquina (HMI) DOPSoft de Delta.

El error, un desbordamiento de búfer basado en la pila, está relacionado con el procesamiento de archivos .dop o .dpb, y puede permitir la ejecución remota de código. El problema afecta DOPSoft 4.00.01 y anteriores, y fue parcheado con el lanzamiento de la versión 4.00.04 el 1 de marzo.

Esta vulnerabilidad también se informó a Delta a través de ZDI, pero la compañía aún no ha publicado advertencias. El sitio web de ZDI muestra un total de 17 próximos avisos que describen las vulnerabilidades encontradas por Desta en el producto DOPSoft en octubre de 2017. El año pasado, el experto también encontró debilidades en Delta's PMSoft , una herramienta de desarrollo para controladores de movimiento.

ZDI también fue informado recientemente por un investigador anónimo de cuatro fallas de alta gravedad en un producto Delta sin nombre.

No es raro que los proveedores de ICS tomen cientos de días para parchar las vulnerabilidades. Un informe publicado el año pasado por ZDI mostró que el tiempo promedio de parcheo para fallas de SCADA había sido de 150 días.