Schneider Electric: vulnerabilidades solucionadas en varios productos (AL01/241112/CSIRT-ITA)

Síntesis

Se han subsanado nuevas vulnerabilidades presentes en algunos productos de Schneider Electric, que también pueden integrarse en soluciones SCADA, incluida una de gravedad «crítica» y cinco de gravedad «alta».

Riesgo

Impacto estimado de la vulnerabilidad en la comunidad de referencia: ALTO/NARANJA (74,42/100)¹.

Tipología

• Arbitrary Code Execution
• Denial of Service
• Security Restrictions Bypass

Productos y/o versiones afectados

Electricidad Schneider

• PowerLogic PM5300 series
• Modicon PAC
• EcoStruxure IT Gateway

Acciones de mitigación

En línea con lo indicado por el proveedor, se recomienda actualizar los productos vulnerables siguiendo las indicaciones de los boletines de seguridad reportados en la sección Referencias.

Identificadores únicos de vulnerabilidad

A continuación se muestran los únicos CVE relacionados con vulnerabilidades con gravedad «crítica» y «alta»:

CVE-2024-9409

CVE-2024-8933

CVE-2024-8935

CVE-2024-8937

CVE-2024-8938

CVE-2024-10575

Referencias

https://www.se.com/ww/en/work/support/cybersecurity/security-notifications.jsp

https://download.schneider-electric.com/doc/SEVD-2024-317-01/SEVD-2024-317-01.pdf

https://download.schneider-electric.com/doc/SEVD-2024-317-02/SEVD-2024-317-02.pdf

https://download.schneider-electric.com/doc/SEVD-2024-317-03/SEVD-2024-317-03.pdf

https://download.schneider-electric.com/doc/SEVD-2024-317-04/SEVD-2024-317-04.pdf

¹Esta estimación se realiza teniendo en cuenta varios parámetros, entre ellos: CVSS, disponibilidad de patch/workaround y PoC, difusión del software/dispositivos afectados en la comunidad de referencia.