Vulnerabilidad de evasión de autenticación en Ether-Serial Link de LAVA Computer MFG Inc.

Fecha de publicación: 
11/10/2017
Importancia: 
4 - Alta
Recursos afectados: 
  • Todos los dispositivos Ether-Serial Link con versiones de firmware 6.01.00/29.03.2007 y anteriores.
Descripción: 

Se ha identificado una vulnerabilidad de criticidad alta que podría permitir a un atacante falsificar la dirección IP de un usuario autenticado, asumir su identidad y obtener privilegios o aceder al sistema.

Solución: 

LAVA Computer MFG Inc. no ha respondido a las solicitudes de trabajar con NCCIC/ICS-CERT para mitigar esta vulnerabilidad.

ICS-CERT recomienda que los usuarios tomen las siguientes medidas defensivas para minimizar el riesgo de explotación de esta vulnerabilidad:

  • Minimizar la exposición de la red para todos los sistemas o dispositivos de sistemas de control y asegurar que no sean accesibles desde Internet.
  • Localizar redes de sistemas de control y dispositivos remotos detrás de cortafuegos, y aislarlos de la red empresarial.
  • Cuando se requiera acceso remoto, utilizar métodos seguros, como las redes privadas virtuales (VPN), teniendo en cuenta que las VPN pueden tener vulnerabilidades y deben actualizarse a la versión más reciente disponible.
Detalle: 
  • Vulnerabilidad de evasión de autenticación por falsificación: la explotación de esta vulnerabilidad permitiría a un atacante con la misma dirección IP eludir la autenticación accediendo a un localizador de recursos uniforme específico. Se ha reservado el identificador CVE-2017-14003.
Etiquetas: