Múltiples vulnerabilidades en productos de Codesys
Fecha de publicación 05/08/2025
Identificador
INCIBE-2025-0422
Importancia
4 - Alta
Recursos Afectados
Todas las versiones anteriores a 3.5.21.20:
- CODESYS Control RTE (SL);
- CODESYS Control RTE (for Beckhoff CX) SL;
- CODESYS Control Win (SL);
- CODESYS HMI (SL);
- CODESYS Runtime Toolkit.
Todas las versiones anteriores a 4.17.0.0:
- CODESYS Control para BeagleBone SL;
- CODESYS Control para emPC-A/iMX6 SL
- CODESYS Control para IOT2000 SL;
- CODESYS Control para Linux ARM SL;
- CODESYS Control para Linux SL;
- CODESYS Control para PFC100 SL;
- CODESYS Control para PFC200 SL;
- CODESYS Control para PLCnext SL;
- CODESYS Control para Raspberry Pi SL;
- CODESYS Control para WAGO Touch Panels 600 SL;
- CODESYS Virtual Control SL.
Todas las versiones desde la 3.5.21.10 hasta la .5.21.20:
- CODESYS Control RTE (SL);
- CODESYS Control RTE (for Beckhoff CX) SL;
- CODESYS Control Win (SL);
- CODESYS Runtime Toolkit.
Todas las versiones desde la 4.16.0.0 anta la anteriores a la 4.17.0.0:
- CODESYS Control para BeagleBone SL;
- CODESYS Control para emPC-A/iMX6 SL;
- CODESYS Control para IOT2000 SL;
- CODESYS Control para Linux ARM SL;
- CODESYS Control para Linux SL;
- CODESYS Control para PFC100 SL;
- CODESYS Control para PFC200 SL;
- CODESYS Control para PLCnext SL;
- CODESYS Control para Raspberry Pi SL;
- CODESYS Control para WAGO Touch Panels 600 SL;
- CODESYS Virtual Control SL.
Descripción
CERT@VDE coordinado con CODESYS GmbH, ha publicado 2 vulnerabilidades de severidad alta que podrían permitir a un atacante extraer claves criptográficas confidenciales y manipular certificados de confianza o conducir a una condición de denegación de servicio (DoS).
Solución
Actualice los siguientes productos a la versión 3.5.21.20:
- CODESYS Control RTE (SL);
- CODESYS Control RTE (for Beckhoff CX) SL;
- CODESYS Control Win (SL);
- CODESYS HMI (SL);
- CODESYS Runtime Toolkit.
Actualice los siguientes productos a la versión 4.17.0.0. El lanzamiento de esta versión está previsto para agosto de 2025:
- Control CODESYS para BeagleBone SL;
- Control CODESYS para emPC-A/iMX6 SL;
- Control CODESYS para IOT2000 SL;
- Control CODESYS para Linux ARM SL;
- Control CODESYS para Linux SL;
- Control CODESYS para PFC100 SL;
- Control CODESYS para PFC200 SL;
- Control CODESYS para PLCnext SL;
- Control CODESYS para Raspberry Pi SL;
- Control CODESYS para paneles táctiles WAGO 600 SL;
- CODESYS Control Virtual SL.
Detalle
- CVE-2025-41659: el acceso no autorizado a archivos PKI permite a los atacantes extraer claves criptográficas confidenciales y manipular certificados de confianza. Esto compromete la integridad y la confidencialidad del sistema, y afecta parcialmente la disponibilidad.
- CVE-2025-41691: un atacante remoto no autenticado puede provocar una desreferencia de puntero NULL en los sistemas de ejecución de CODESYS Control afectados mediante el envío de solicitudes de comunicación especialmente diseñadas, lo que podría conducir a una condición de denegación de servicio (DoS).
CVE
Listado de referencias
