El software de visualización y análisis de datos desplegado dentro de un gran software de inteligencia, vendido por Schneider Electric, ha sido reparado contra una falla crítica de escalamiento de privilegios.

La vulnerabilidad fue descubierta por los mismos ingenieros de Schneider Electric en los productos Tableau Server/Desktop. Las versiones 7.0 a la 10.1.3 del software que corren dentro del Wonderware Intelligence 2014R3 de Schneider son las afectadas por esta vulnerabilidad.

“La vulnerabilidad, si es explotada, puede permitir a una entidad maliciosa escale privilegios de administrador y tome control de la máquina cliente donde el software Tableau Server está instalado,” explicó el Industrial Control Systems Cyber Emergency Response Team (ICS-CERT) en una publicación.

La falla, CVE-2017-5178, contiene una cuenta de sistema predeterminada con credenciales por defecto, las cuales son un verdadero reto cambiar; de hecho, de acuerdo a un análisis de vulnerabilidades publicado por la National Vulnerability Database, el proceso de actualización de las credenciales por defecto no está documentado.

“Si Tableau Server es utilizado con seguridad integrada de Windows (Active Directory) el sistema no es vulnerable. Sin embargo, cuando Tableau Server es utilizado con el modo de autenticación local, el software es vulnerable,” dijo la NVD. “La cuenta de sistema por defecto puede ser utilizada para ganar privilegios de acceso no autorizados.”

Schneider ha reparado la vulnerabilidad y recomienda a los usuarios actualizar a la versión 10.1.4 de Tableau Server. “Adicionalmente, el Tableau Desktop OEM deberá ser actualizado a la versión 10.1.4,” ICS-CERT dice en su advertencia.“También es recomendable actualizar a Intelligence Server 2014 R3.”