Denegación de servicio en 4CCT

Recursos afectados:

4CCT-EA6-334126BF, versión de firmware 3.23.80.27.36371.

Descripción:

INCIBE ha coordinado la publicación de una vulnerabilidad en el dispositivo ZIV 4CCT, con el código interno INCIBE-2021-0039, que ha sido descubierto por Aarón Flecha Menéndez.

Se ha asignado el código CVE-2021-25909 para esta vulnerabilidad. Se ha calculado una puntuación base de 8.2 según CVSS v3; siendo el cálculo del CVSS el siguiente: AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H/E:H/RL:O/RC:C/CR:X/IR:X/AR:M/MAV:N/MAC:X/MPR:X/MUI:N/MS:C/MC:N/MI:N/MA:H.

Solución:

Actualizar a la versión 3.23.80.58.46120.

Esta situación también puede evitarse instalando el dispositivo en una red con el ancho de banda limitado y con requisito de privilegios de acceso.

Detalle:

El dispositivo 4CCT, de ZIV Automation, es vulnerable a ataques de denegación de servicio a través del puerto 7919.

La explotación de esta vulnerabilidad podría permitir a un atacante remoto causar una interrupción en el funcionamiento del dispositivo mediante el envío de paquetes específicos al puerto 7919.

Una vez finalizado el ataque, el dispositivo recupera gradualmente su funcionamiento normal.

CWE-400: Consumo de recursos no controlado (Agotamiento de recursos).

Línea temporal:

10/03/2020 ? Descubrimiento de los investigadores.
25/05/2020 ? Investigadores contactan con INCIBE.
03/07/2020 ? El fabricante confirma la vulnerabilidad a INCIBE.
21/12/2020 ? ZIV confirma que la versión fix y la nueva versión software han sido publicadas (Security Patch/new version).
28/01/2021 ? El aviso es publicado por INCIBE.

Si tiene más información sobre este aviso, póngase en contacto con INCIBE, como se indica en el reporte de vulnerabilidades al CNA.

Reportar incidentes