Avisos de seguridad de Siemens de agosto 2025
Están afectados los siguientes productos o familias de productos:
- BFCClient;
- RUGGEDCOM ROX II;
- SINUMERIK;
- SIMOTION SCOUT;
- SINAMICS STARTER;
- Totally Integrated Automation Portal (TIA Portal);
- Siemens Web Installer;
- SIMATIC Information Server;
- SIMATIC PDM Maintenance Station;
- SIMATIC Process Historian;
- SIMATIC WinCC OA;
- SINEC OS;
- Opcenter Quality;
- SIPROTEC 4 y SIPROTEC 4 Compact;
- SIMATIC S7-PLCSIM;
- SIMATIC RTLS Locating Manager;
- SINEC Traffic Analyzer;
- POWER METER SICAM Q100 y POWER METER SICAM Q200;
- Simcenter Femap;
- COMOS;
- SIPROTEC 5;
- RUGGEDCOM APE1808;
- RUGGEDCOM CROSSBOW Station Access Controller (SAC).
Siemens ha publicado en su comunicado mensual varias actualizaciones de seguridad de diferentes productos.
Las actualizaciones que corrigen las vulnerabilidades indicadas pueden obtenerse desde el panel de descarga de Siemens. Para los productos sin actualizaciones disponibles es recomendable aplicar las medidas de mitigación descritas en la sección de 'Referencias'.
Siemens, en su comunicado mensual de parches de seguridad, ha emitido 22 nuevos avisos de seguridad, recopilando un total de 696 vulnerabilidades de distintas severidades, entre ellas 4 críticas que se describen a continuación:
- CVE-2025-40746: afecta a SIMATIC RTLS Locating Manager, y su explotación podría permitir a un atacante remoto autenticado con privilegios elevados en la aplicación, ejecutar código arbitrario con privilegios 'NT Authority/SYSTEM'.
- CVE-2024-47685: se ha detectado un fallo en la funcionalidad Netfilter e IPV6 del kernel de Linux que provoca una fuga de 4 bits aleatorios. Este problema puede permitir a un usuario remoto realizar una lectura no autorizada de bits aleatorios del servidor.
- CVE-2023-52832: comportamiento no definido en el módulo wifi del kernel de Linux al llamar a 'ieee80211_get_tx_power()' cuando el nivel de potencia no estaba establecido.
- CVE-2021-3711: un error en el descifrado SM2 en EVP_PKEY_decrypt() puede provocar un desbordamiento de buffer al calcular mal el tamaño necesario, permitiendo que un atacante cause corrupción de memoria o caídas de la aplicación.
Para el resto de vulnerabilidades no críticas se pueden ver los detalles e identificadores en las referencias.
