emreovunc/myscada-mypro-7-hardcoded-ftp-username-and-passwordCVE-2018-11311 | mySCADA myPRO 7 Vulnerabilidad de nombre de usuario y contraseña FTP codificados
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-11311
https://www.exploit-db.com/exploits/44656/
http://myscada.org/wp-content/uploads/downloads/BOXv7/changelog.txt
Changelog v7.0.46
-----------------
- fix of possible vulnerability as described here https://vuldb.com/?id.118038
- This release disables download of project using FTP protocol. The download is performed over secure SSL channel now.
- You don't have to do anything to activate this, it is done automatically. After the installation restart your system TWICE please.
- minor bug fixes - speed optimisation
myPRO es un sistema HMI/SCADA profesional diseñado principalmente para la visualización y control de procesos industriales. myPRO es una solución eficaz e innovadora para cualquier industria que necesite estar en funcionamiento ininterrumpido. myPRO garantiza una supervisión fiable, una interfaz fácil de usar y una seguridad superior. Es compatible con plataformas Windows (32/64 bits), Mac OS X y Linux (32/64 bits). (más: https://www.myscada.org/mypro/)
En la última versión de myPRO (v7), se ha descubierto que la información de nombre de usuario y contraseña del servidor FTP (que se ejecuta en el puerto 2121) se almacena en el archivo mediante ingeniería inversa. Cualquier persona que se conecte a un servidor FTP con una cuenta autorizada puede cargar o descargar archivos en el servidor que ejecuta el software myPRO.
En primer lugar, encontré a qué puertos escuchaba myPRO. Puede obtener información sobre los puertos y servicios en ejecución utilizando el comando netstat. Como se puede ver en las imágenes, al instalar myPRO se ven muchos puertos abiertos. La vulnerabilidad funciona en todas las plataformas compatibles.
En mi primera investigación en el sistema operativo Windows, myPRO tiene muchos procesos y noté que ‘myscadagate.exe’ está escuchando en el puerto #2121. El puerto 2121 es importante porque podría ser un servicio FTP.
Como se puede ver en la imagen a continuación, descubrí que colocan el nombre de usuario y la contraseña (myscada:Vikuk63) en el código fuente. Obtuve acceso conectándome al puerto 2121 del servidor de myPRO con cualquier cliente FTP.
Como solución alternativa, debe restringir el acceso al puerto 2121 desde el exterior. No existe una solución permanente por parte del proveedor porque no hay un parche disponible.