Wonderware InTouch HMI permite acceso a recursos locales (archivos y recursos internos) a través de entidades externas XML inseguras. La vulnerabilidad, con identificador CVE-2012-4709, ha sido catalogada de nivel crítico.
Recursos afectados
- InTouch HMI 2012 R2 todas las versiones anteriores.
Detalle e Impacto de la vulnrabilidad
- Wonderware InTouch HMI permite acceso a recursos locales (archivos y recursos internos) a través de entidades externas XML inseguras.
- Utilizando XML manipulados un atacante puede hacer que Wonderware InTouch HMI envie archivos locales o remotos al servidor del atacante o causar una denegación de servicio.
- La explotación de esta vulnerabilidad permitiría a un atacante afectar la confidencialidad y disponibilidad del Invensys Wonderware InTouch.
- Esta vulnerabilidad puede ser explotada remotamente, y se requieren pocos conocimientos para hacerlo.
Recomendación
Ivensys ha publicado un parche que correge la vulnerabilidad disponible desde: https://wdn.wonderware.com/sites/WDN/Pages/Downloads/Software.aspx
Más información
Invensys Wonderware InTouch Improper Input Validation Vulnerability http://ics-cert.us-cert.gov/advisories/ICSA-13-276-01
Fuente: Inteco