Darrera revisió 12 de novembre de 2024

Codi d’alerta ICSA-23-136-01

Temes relacionats: Vulnerabilitats del sistema de control industrial, Sistemes de control industrial

Veure CSAF

1. RESUM EXECUTIU

• CVSS v4 9.2
• ATENCIÓ: explotable de forma remota/baixa complexitat d’atac.
• Proveïdor: Snap One.
• Equipament: OvrC Cloud, OvrC Pro Devices.
• Vulnerabilitats: validació inadequada d’entrada; discrepància de resposta observable; control d’accés inadequat; transmissió de text clar d’informació delicada; verificació insuficient de l’autenticitat de les dades; redirecció oberta; ús de credencials codificades; funcionalitat oculta; omissió d’autenticació per falsificació; manca d’autenticació per a la funció crítica.

2. AVALUACIÓ DE RISCOS

L’explotació correcta d’aquestes vulnerabilitats podria permetre que un atacant suplantés i reclamés dispositius, executés codi arbitrari i revelés informació sobre el dispositiu afectat.

3. DADES TÈCNIQUES

3.1 PRODUCTES AFECTATS

El component Snap One afectat és el següent:

• OvrC Pro: totes les versions anteriors a la 7.3.

3.2 Visió general de la vulnerabilitat

3.2.1 VALIDACIÓ D’ENTRADA INADEQUADA CWE-20

A la plataforma de núvol Snap One OVRC, el concentrador (hub) és un dispositiu que s’utilitza per centralitzar i gestionar dispositius imbricats connectats a ell. Hi ha una vulnerabilitat en què un atacant pot suplantar la identitat d’un concentrador i enviar sol·licituds de dispositiu per reclamar dispositius ja reclamats. La plataforma al núvol OVRC rep les sol·licituds però no valida si els dispositius trobats ja són gestionats per un altre usuari.

S’ha assignat el codi CVE-2023-28649 a aquesta vulnerabilitat. S’ha calculat una puntuació base CVSS v3.1 de 8,6; la cadena vectorial CVSS és AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H.

També s’ha calculat una puntuació CVSS v4 de la CVE-2023-28649. S’ha calculat una puntuació base de 9,2; la cadena vectorial CVSS és CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:H.

3.2.2 DISCREPÀNCIA OBSERVABLE DE LA RESPOSTA CWE-204

Si proporcioneu als servidors del núvol Snap One OVRC una adreça MAC aleatòria, retornarà informació sobre el dispositiu. L’adreça MAC dels dispositius es pot enumerar en un atac i la seva informació serà revelada pel núvol OVRC.

S’ha assignat el codi CVE-2023-28412 a aquesta vulnerabilitat. S’ha calculat una puntuació base CVSS v3.1 de 5,3; la cadena vectorial CVSS és AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N.

També s’ha calculat una puntuació CVSS v4 de la CVE-2023-28412. S’ha calculat una puntuació base de 6,9; la cadena vectorial CVSS és CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N.

3.2.3 CONTROL D’ACCÉS IMPROPI CWE-284

Els servidors al núvol Snap One OVRC contenen una ruta que es pot explotar on un atacant pot evitar els requisits i reclamar dispositius directament.

S’ha assignat el codi CVE-2023-31241 a aquesta vulnerabilitat. S’ha calculat una puntuació base CVSS v3.1 de 8,6; la cadena vectorial CVSS és AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H.

També s’ha calculat una puntuació CVSS v4 de la CVE-2023-31241. S’ha calculat una puntuació base de 9,2; la cadena vectorial CVSS és CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:H.

3.2.4 TRANSMISSIÓ DE TEXT CLEAR D’INFORMACIÓ DELICADA CWE-319

Les versions de Snap One OvrC Pro anteriors a la 7.3 utilitzen connexions HTTP quan descarreguen un programa dels seus servidors. Com que no utilitza HTTPS, els dispositius OVRC Pro són susceptibles d’explotació.

S’ha assignat el codi CVE-2023-31193 a aquesta vulnerabilitat. S’ha calculat una puntuació base CVSS v3.1 de 7,5; la cadena vectorial CVSS és AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N.

També s’ha calculat una puntuació CVSS v4 de la CVE-2023-31193. S’ha calculat una puntuació base de 8,7; la cadena vectorial CVSS és CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N.

3.2.5 VERIFICACIÓ INSUFICIENT DE L’AUTENTICITAT DE LES DADES CWE-345

Els dispositius Snap One OVRC Pro de la versió 7.2 i anteriors no validen correctament les actualitzacions de microprogramari. El dispositiu només calcula el hash MD5 del microprogramari i no ho comprova mitjançant un mecanisme de clau pública-privada. La manca d’un sistema PKI complet i la manca de signatura de microprogramari podrien permetre que els atacants pengessin actualitzacions de microprogramari arbitràries que resultin en l’execució de codi.

S’ha assignat el codi CVE-2023-28386 a aquesta vulnerabilitat. S’ha calculat una puntuació base CVSS v3.1 de 8,6; la cadena vectorial CVSS és AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N.

També s’ha calculat una puntuació CVSS v4 de la CVE-2023-28386. S’ha calculat una puntuació base de 9,2; la cadena vectorial CVSS és CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:H/SA:N.

3.2.6 REDIRECCIÓ DE L’URL A UN LLOC NO FIABLE (‘REDIRECCIÓ OBERTA’) CWE-601

Els dispositius que utilitzen el núvol Snap One OVRC s’envien a l’adreça web quan accedeixen a una interfície de gestió web mitjançant una connexió HTTP. És possible que els atacants suplantin un dispositiu i proporcionin informació maliciosa sobre la interfície del servidor web del dispositiu. En proporcionar paràmetres maliciosos, un atacant podria redirigir l’usuari a ubicacions arbitràries i perilloses del web.

S’ha assignat el codi CVE-2023-31245 a aquesta vulnerabilitat. S’ha calculat una puntuació base CVSS v3.1 de 7,1; la cadena vectorial CVSS és AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L.

També s’ha calculat una puntuació CVSS v4 de la CVE-2023-31245. S’ha calculat una puntuació base de 5,1; la cadena vectorial CVSS és CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:L/VI:L/VA:L/SC:L/SI:L/SA:L.

3.2.7 ÚS DE CREDENCIALS CODIFICATS CWE-798

Les versions de Snap One OvrC Pro anteriors a la 7.2 tenen el seu propi servidor web d’execució local accessible tant des de la xarxa local com de forma remota. El núvol OvrC conté un compte de superusuari ocult al qual es pot accedir mitjançant credencials codificades.

S’ha assignat el codi CVE-2023-31240 a aquesta vulnerabilitat. S’ha calculat una puntuació base CVSS v3.1 de 8,3; la cadena vectorial CVSS és AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:L.

També s’ha calculat una puntuació CVSS v4  de la CVE-2023-31240. S’ha calculat una puntuació base de 6,9; la cadena vectorial CVSS és CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:L/SC:L/SI:L/SA:L.

3.2.8 FUNCIONALITAT OCULTA CWE-912

A les versions de Snap One OvrC Pro anteriors a la 7.2, quan s’inicia la sessió al compte de superusuari, apareix una nova funcionalitat que permet que l’usuari executi ordres arbitràries al dispositiu concentrador.

S’ha assignat el codi CVE-2023-25183 a aquesta vulnerabilitat. S’ha calculat una puntuació base CVSS v3.1 de 8,3; la cadena vectorial CVSS és AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:L.

També s’ha calculat una puntuació CVSS v4 de la CVE-2023-25183. S’ha calculat una puntuació base de 6,9; la cadena vectorial CVSS és CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:L/SC:L/SI:L/SA:L.

3.2.9 AUTENTICACIÓ BYPASS PER SUPLANTACIÓ (SPOOFING) CWE-290

El núvol de Snap One OVRC utilitza l’adreça MAC com a identificador per proporcionar informació quan se sol·licita. Un atacant pot suplantar la identitat d’altres dispositius, proporcionar adreces MAC enumerades i rebre informació delicada sobre el dispositiu.

S’ha assignat el codi CVE-2024-50380 a aquesta vulnerabilitat. S’ha calculat una puntuació base CVSS v3.1 de 7,5; la cadena vectorial CVSS és AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N.

També s’ha calculat una puntuació CVSS v4 de la CVE-2024-50380. S’ha calculat una puntuació base de 8,7; la cadena vectorial CVSS és CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N.

3.2.10 FALTA L’AUTENTIFICACIÓ PER A LA FUNCIÓ CRÍTICA CWE-306

Hi ha una vulnerabilitat al núvol Snap One OVRC on un atacant pot suplantar la identitat d’un dispositiu hub i enviar sol·licituds tant a dispositius reclamats com a no reclamats. L’atacant només ha de proporcionar l’adreça MAC del dispositiu objectiu i pot fer una sol·licitud per retirar-lo de la seva connexió original i fer una sol·licitud per reclamar-lo.

S’ha assignat el codi CVE-2024-50381 a aquesta vulnerabilitat. S’ha calculat una puntuació base CVSS v3.1 de 9,1; la cadena vectorial CVSS és AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H.

També s’ha calculat una puntuació CVSS v4 de la CVE-2024-50381. S’ha calculat una puntuació base de 8,8; la cadena vectorial CVSS és CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:H/SC:N/SI:N/SA:N.

3.3 ANTECEDENTS

• SECTORS D’INFRAESTRUCTURES CRÍTIQUES: comunicacions.
• PAÏSOS/ÀREES DESPLEGADES: a tot el món.
• LOCALITZACIÓ DE LA SEU DE L’EMPRESA: els Estats Units.

3.4 INVESTIGADOR

Uri Katz de Claroty va informar CISA d’aquestes vulnerabilitats.

4. MITIGACIONS

Snap One ha publicat les actualitzacions/correccions següents per als productes afectats:

• OvrC Pro v7.2 s’ha enviat automàticament als dispositius per actualitzar-los a través del núvol OvrC.
• OvrC Pro v7.3 s’ha enviat automàticament als dispositius per actualitzar-los a través del núvol OvrC.
• Desactiva UPnP.

Per obtenir més informació, vegeu Snap One’s Notes de la versió.

CISA recomana els usuaris prendre mesures defensives per minimitzar el risc d’explotació d’aquestes vulnerabilitats, com ara:

• Minimitzeu l’exposició de la xarxa per a tots els dispositius i/o sistemes del sistema de control, i assegureu-vos que no són accessibles des d’Internet.
• Localitzeu les xarxes del sistema de control i els dispositius remots darrere dels tallafocs i aïlleu-los de les xarxes empresarials.
• Quan es requereixi accés remot, feu servir mètodes més segurs, com ara xarxes privades virtuals (VPN), tot  que cal saber que les VPN poden tenir vulnerabilitats i s’han d’actualitzar a la versió més actual disponible. També cal que la VPN sigui tan segura com els dispositius connectats.

CISA recorda a les organitzacions que facin una anàlisi d’impacte i una avaluació de riscos adequada abans de desplegar mesures defensives.

CISA també ofereix una secció per a Pràctiques recomanades de seguretat dels sistemes de control a la pàgina web de l’ICS cisa.gov/ics. Diversos productes CISA que detallen les millors pràctiques de ciberdefensa estan disponibles per llegir i descarregar, inclòs Millora de la ciberseguretat dels sistemes de control industrial amb estratègies de defensa en profunditat.

CISA anima les organitzacions a implementar les estratègies de ciberseguretat recomanades a defensa proactiva dels actius de l’ICS.

Les instruccions de mitigació addicionals i les pràctiques recomanades estan disponibles públicament a la pàgina web de l’ICS a cisa.gov/ics al document d’informació tècnica, ICS-TIP-12-146-01B: estratègies de mitigació i detecció d’intrusions cibernètiques dirigides.

Les organitzacions que sospiten d’una activitat maliciosa han de seguir els procediments interns establerts i informar CISA de les conclusions per fer un seguiment i correlació amb altres incidents.

CISA també recomana els usuaris que prenguin les mesures següents per protegir-se dels atacs d’enginyeria social:

• No feu clic als enllaços web ni obriu fitxers adjunts en missatges de correu electrònic no sol·licitats.
• Consulteu Reconèixer i evitar les estafes per correu electrònic per obtenir més informació sobre com evitar les estafes per correu electrònic.
• Consulteu Evitar atacs d’enginyeria social i pesca per obtenir més informació sobre atacs d’enginyeria social.

En aquests moments no s’ha informat CISA d’explotació pública coneguda específicament dirigida a aquestes vulnerabilitats.

5. HISTÒRIA D’ACTUALITZACIÓ

• 16 de maig de 2023: publicació Inicial
• 12 de novembre de 2024: actualització A: vulnerabilitat addicional i solucions

Aquest producte es proporciona subjecte a aquesta Notificació i a aquesta política de Privacitat i ús.

Venedor

• SnapOne