Transmisor familiar TEM Opera Plus FM
1. RESUMEN EJECUTIVO
- CVSS v4 9.3
- ATENCIÓN: Explotable de forma remota/baja complejidad de ataque/exploits públicos disponibles
- Proveedor: TEM
- Equipo: Transmisor de la familia Opera Plus FM
- Vulnerabilidades: Autenticación faltante para funciones críticas, falsificación de solicitudes entre sitios (CSRF)
2. EVALUACIÓN DE RIESGOS
La explotación exitosa de estas vulnerabilidades podría permitir a un atacante realizar la ejecución remota de código.
3. DETALLES TÉCNICOS
3.1 PRODUCTOS AFECTADOS
Las siguientes versiones del transmisor de la familia TEM Opera Plus FM, un transmisor de FM, se ven afectadas:
- Transmisor de la familia Opera Plus FM: Versión 35.45
3.2 Descripción general de la vulnerabilidad
3.2.1 Autenticación faltante para función crítica CWE-306
El transmisor de la familia TEM Opera Plus FM permite el acceso a un punto final desprotegido que permite la carga de imágenes binarias del sistema de archivos MPFS sin autenticación. Este sistema de archivos sirve como base para el módulo de servidor web HTTP2, pero también lo utiliza el módulo SNMP y está disponible para otras aplicaciones que requieren capacidades básicas de almacenamiento de solo lectura. Esto puede aprovecharse para sobrescribir la memoria flash del programa que contiene las interfaces principales del servidor web y ejecutar código arbitrario.
CVE-2024-41988 ha sido asignado a esta vulnerabilidad. Se ha calculado una puntuación base CVSS v3.1 de 9,8; la cadena del vector CVSS es (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).
También se ha calculado una puntuación CVSS v4 paraCVE-2024-41988. Se ha calculado una puntuación base de 9,3; la cadena del vector CVSS es (CVSS4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N).
3.2.2 Falsificación de solicitudes entre sitios (CSRF) CWE-352
La interfaz de la aplicación del transmisor familiar TEM Opera Plus FM permite a los usuarios realizar ciertas acciones a través de solicitudes HTTP sin realizar ninguna verificación de validez para verificar las solicitudes. Esto se puede aprovechar para realizar determinadas acciones con privilegios administrativos si un usuario que ha iniciado sesión visita un sitio web malicioso.
CVE-2024-41987 ha sido asignado a esta vulnerabilidad. Se ha calculado una puntuación base CVSS v3.1 de 9,6; la cadena del vector CVSS es (AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H).
También se ha calculado una puntuación CVSS v4 paraCVE-2024-41987. Se ha calculado una puntuación base de 8,6; la cadena del vector CVSS es (CVSS4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N).
3.3 ANTECEDENTES
- SECTORES DE INFRAESTRUCTURA CRÍTICA: Comunicaciones
- PAÍSES/ÁREAS DESPLEGADAS: Mundial
- UBICACIÓN DE LA SEDE DE LA EMPRESA: Italia
3.4 INVESTIGADOR
CISA descubrió una prueba de concepto (PoC) pública escrita por Gjoko Krstic y la informó a TEM.
4. MITIGACIONES
TEM no ha respondido a las solicitudes para trabajar con CISA para mitigar estas vulnerabilidades. Se anima a los usuarios de los productos afectados a ponerse en contacto TEM para obtener información adicional.
CISA recomienda a los usuarios tomar medidas defensivas para minimizar el riesgo de explotación de estas vulnerabilidades, tales como:
- Minimizar la exposición de la red para todos los dispositivos y/o sistemas del sistema de control, asegurándose de que estén no accesible desde internet.
- Ubique las redes del sistema de control y los dispositivos remotos detrás de firewalls y aíslelos de las redes comerciales.
- Cuando se requiera acceso remoto, utilice métodos más seguros, como redes privadas virtuales (VPN), reconociendo que las VPN pueden tener vulnerabilidades y deben actualizarse a la versión más reciente disponible. También reconozca que la VPN es tan segura como los dispositivos conectados.
CISA recuerda a las organizaciones que realicen un análisis de impacto y una evaluación de riesgos adecuados antes de implementar medidas defensivas.
CISA también proporciona una sección para prácticas recomendadas de seguridad de los sistemas de control en la página web de ICS en cisa.gov/ics. Varios productos de CISA que detallan las mejores prácticas de defensa cibernética están disponibles para lectura y descarga, incluidos Mejora de la ciberseguridad de los sistemas de control industrial con estrategias de defensa en profundidad.
CISA alienta a las organizaciones a implementar estrategias de ciberseguridad recomendadas para defensa proactiva de los activos de ICS.
Orientaciones de mitigación adicionales y prácticas recomendadas están disponibles públicamente en la página web de ICS en cisa.gov/ics en el documento de información técnica, ICS-TIP-12-146-01B–Estrategias específicas de mitigación y detección de intrusiones cibernéticas.
Las organizaciones que observen sospechas de actividad maliciosa deben seguir los procedimientos internos establecidos e informar los hallazgos a CISA para su seguimiento y correlación con otros incidentes.
CISA también recomienda a los usuarios tomar las siguientes medidas para protegerse de ataques de ingeniería social:
Hasta el momento no se ha informado a CISA de ninguna explotación pública conocida dirigida específicamente a estas vulnerabilidades.
5. ACTUALIZAR HISTORIAL
- 03 de octubre de 2024: Publicación inicial