La compañía Ing
Puzenberger COPA-DATA GmbH ha reportado una vulnerabilidad de validación
incorrecta de datos de entrada que afecta al driver para DNP3 en el software
"zenon SCADA". Esta vulnerabilidad podría ser explotada de manera
remota, resultando en una denegación de servicio que podría cerrar las
comunicaciones y causar inestabilidad del sistema. Dicha vulnerabilidad ha sido catalogada con
nivel de Importancia (4-Alta) COPA-DATA
ha desarrollado una actualización que mitiga la vulnerabilidad.
Recursos afectados
- Las versiones desde 7.10 SP0
hasta la 7.11 SP0 build 10238 (inclusive) de zenon DNP3 NG driver (DNP3
master).
- Las
versiones 7.11 SP0 build 10238 y anteriores de zenon DNP3 Process Gateway
(DNP3 outstation).
Detalle e Impacto de la
vulnerabilidad
- La vulnerabilidad afecta tanto
a dispositivos conectados a través del protocolo IP como del puerto serie.
En ambos casos, debido a que el driver zenon DNP3 valida incorrectamente
los datos de entrada, un atacante podría provocar que el software entrase
en un bucle infinito, causando la caída del proceso. En dicho caso, el
sistema tendrá que ser reiniciado manualmente.
- La vulnerabilidad ha recibido
el identificador CVE-2014-2345 para el caso de dispositivos IP, con un
CVSS v2 de 7.1, y el identificador CVE-2014-2346 para dispositivos serie,
con un CVSS v2 de 4.0.
Recomendación
· COPA-DATA
ha publicado la build 11206 de la versión 7.11 de zenon, que resuelve las
vulnerabilidades descubiertas. La compañía recomienda actualizar los productos
afectados a dicha versión.
Más
información
- Advisory (ICSA-14-154-01) COPA-DATA Improper
Input Validation http://ics-cert.us-cert.gov/advisories/ICSA-14-154-01
