Vulnerabilidad crítica en el stack EtherNet/IP de Pyramid Solutions

Según el aviso de CISA, la vulnerabilidad reside en una deficiencia del stack NetStaX EtherNet/IP que permite que una solicitud de mensaje explícito de Clase 3, de tamaño considerable, exceda el búfer de recepción del lado de la aplicación. Esta situación ocurre sin que el dispositivo de origen reciba un error CIP que indique la imposibilidad de procesar la solicitud.

La explotación exitosa de esta debilidad podría resultar en corrupción de memoria, una caída del dispositivo o un vector de ataque remoto. Las versiones afectadas incluyen todos los kits Pyramid Solutions EtherNet/IP Adapter DLL Kit (EIPA), EtherNet/IP Adapter DLL Kit with CIP Security (EIPA-SECURE), EtherNet/IP Adapter Development Kit (EADK), EtherNet/IP Adapter Development Kit with CIP Security (EADK-SECURE), EtherNet/IP Scanner DLL Kit (EIPS), EtherNet/IP Scanner DLL Kit with CIP Security (EIPS-SECURE), EtherNet/IP Scanner Development Kit (ESDK) y EtherNet/IP Scanner Development Kit with CIP Security (ESDK-SECURE) anteriores a la v5.6.1.

La vulnerabilidad ha sido catalogada con una severidad CRÍTICA, obteniendo una puntuación base CVSS v3.1 de 9.8 y CVSS v4.0 de 9.3. Se ha identificado como un desbordamiento de búfer de tipo stack (CWE-121).

Para mitigar este riesgo, Pyramid Solutions ha lanzado la versión NetStaX v5.6.1, que incorpora múltiples capas de protección. Estas incluyen una aserción en tiempo de compilación, una verificación del tamaño de la carga útil en tiempo de ejecución y una documentación más clara sobre la relación entre las constantes de tamaño de paquete y de búfer.

Aunque el software de Pyramid Solutions se implementa a nivel global en sectores de infraestructura crítica como la manufactura, energía, agua y aguas residuales, y la industria química, CISA no ha recibido informes de explotación pública de esta vulnerabilidad hasta la fecha de publicación del aviso.