Vulnerabilidad de denegación de servicio en controladores Rockwell Automation

Una vulnerabilidad de denegación de servicio, identificada como CVE-2021-42260, ha sido confirmada en diversas series de controladores de Rockwell Automation. Los productos afectados incluyen ControlLogix 5580, GuardLogix 5580, CompactLogix 5380, Compact GuardLogix 5380 y CompactLogix 5480, en versiones anteriores a 34.015, 35.014, 36.013 y 37.011, según la serie específica.

La vulnerabilidad, clasificada con un CVSSv3.1 Base Score de 7.5 (HIGH) y CVSSv4.0 Base Score de 8.7 (HIGH), se describe como un “Loop with Unreachable Exit Condition (‘Infinite Loop’)”. Puede ser activada mediante la inyección de datos manipulados y corruptos, lo que podría resultar en un fallo mayor no recuperable (MNRF). Para la recuperación de controladores de seguridad, se requeriría una descarga de programa; en el caso de controladores no seguros, sería necesario un reinicio de fase 2.

Estos sistemas son empleados en Sectores de Infraestructura Crítica, específicamente en la Manufactura Crítica a nivel global. Rockwell Automation recomienda a los usuarios actualizar sus dispositivos a las versiones de firmware 34.015, 35.014, 36.013, 37.011 o posteriores, dependiendo del producto. Para aquellos que no puedan aplicar las actualizaciones de inmediato, se aconseja seguir las mejores prácticas de seguridad de Rockwell Automation y las recomendaciones de CISA para minimizar la exposición de la red de los sistemas de control.

Al momento de la publicación del aviso por CISA, no se ha reportado ninguna explotación pública conocida que apunte específicamente a esta vulnerabilidad.