Podatności i aktualizacje do produktów firm Siemens, ProMinent, NXP Semiconductors, Envitech oraz WECON Technology

ICS-CERT poinformował o podatnościach i dostępnych aktualizacjach produktów firm Siemens, ProMinent, NXP Semiconductors, Envitech oraz WECON Technology. CERT PSE zaleca zapoznanie się z informacjami odnośnie podatności wymienionych poniżej produktów na stronach ICS-CERT.

Siemens

• APOGEE PXC BACnet (do 3.5)
• TALON TC BACnet (do 3.5)

Podatności:

• CVE-2017-9946 – obejście uwierzytelniania
• CVE-2017-9947 – path traversal

Informacja ICS-CERT:
Advisory (ICSA-17-285-05) Siemens BACnet Field Panels

ProMinent

• MultiFLEX M10a Controller

Podatności:

• CVE-2017-14013 – brak wylogowania użytkownika
• CVE-2017-14007 – zbyt długi czas ważności sesji
• CVE-2017-14011 – CSRF
• CVE-2017-14009 – ujawnienie informacji
• CVE-2017-14005 – brak weryfikacji hasła

Informacja ICS-CERT:
Advisory (ICSA-17-285-01) ProMinent MultiFLEX M10a Controller

NXP Semiconductors

• MQX RTOS, wersje do 5.0

Podatności:

• CVE-2017-12718 – przepełnienie bufora
• CVE-2017-12722 – czytanie z niedozwolonego obszaru pamięci

Informacja ICS-CERT:
Advisory (ICSA-17-285-04) NXP Semiconductors MQX RTOS

Envitech Ltd.

• EnviDAS Ultimate Versions wersje do v1.0.0.5

Podatności:

• CVE-2017-9625 – niepoprawne uwierzytelnianie

Informacja ICS-CERT:
Advisory (ICSA-17-285-03) Envitech Ltd. EnviDAS Ultimate

WECON Technology Co., Ltd. (WECON)

• LEVI Studio HMI Editor wersje do 1.8.1

Podatności:

• CVE-2017-13999 – przepełnienie bufora

Informacja ICS-CERT:
Advisory (ICSA-17-285-02) WECON Technology Co., Ltd. LeviStudio HMI Editor