GE ha lanzado un parche para una vulnerabilidad en una biblioteca que se utiliza en varios de sus productos desplegados en áreas de infraestructura crítica. La falla en la biblioteca HART Device Type Manager (DTM) podría permitir a un atacante detener abruptamente  las aplicaciones afectadas o ejecutar código arbitrario.

La vulnerabilidad en la biblioteca DTM afecta a cuatro de los productos de GE, así como un producto fabricado por MACTek. De acuerdo con un boletín del ICS-CERT, GE ha publicado una biblioteca actualizada que aborda el problema.

"La vulnerabilidad provoca un desbordamiento de búfer en los dispositivos HART DTM, afectando el Framework Application (Marco de aplicación) del FDT (Field Device Tool) por lo que el framework debe reiniciarse. El framework se utiliza principalmente para la configuración remota. La explotación de esta vulnerabilidad no se traduce en la pérdida de información, control o visualización por el sistema de control de los dispositivos HART en el 4-20 mA HART Loop", dice el aviso.

"El desbordamiento de búfer (buffer overflow) podría utilizarse para ejecutar código arbitrario en el sistema que ejecuta el framework. El investigador proporcionó una prueba de concepto para el ICS-CERT y GE. La actualización de DTM en dispositivos HART proporcionada por GE y MACTek resolverá este problema. Una explotación exitosa requiere que el framework esté en funcionamiento y conectado a un dispositivo basado en HART con DTM configurado en el momento de la explotación".

La nueva biblioteca que corrige la vulnerabilidad está disponible en GE y MACTek. Los productos afectados son:

Hasta que los clientes hayan aplicado los parches a sus productos afectados, ICS-CERT recomienda algunas medidas de mitigación adicionales.

"El software DTM de dispositivos con versiones vulnerables identificadas figuran como impactados y sólo debe utilizarse dentro de una red segura sin conexión hasta ser actualizado. El ICS-CERT recomienda encarecidamente realizar cambios de configuración en un entorno d epruebas en donde se pueden realizar los análisis de riesgos necesarios. ICS-CERT también recomienda que los propietarios de activos empleen una práctica de privilegios mínimos además de evitar los servicios innecesarios dentro de su entorno de producción", dice el aviso.