Múltiples vulnerabilidades en Endress+Hauser AG
Fecha de publicación 03/07/2025
Identificador
INCIBE-2025-0353
Importancia
4 - Alta
Recursos Afectados
MEAC300-FNADE4, versión 0.16.0 y anteriores.
Descripción
CERT@VDE ha informado de 19 vulnerabilidades, 7 de ellas de severidad alta y 12 media que se pueden explotar por atacantes remotos no autenticados a través de Ethernet y que pueden comprometer la integridad, disponibilidad y confidencialidad de la información.
Solución
Actualizar a la última versión.
También se recomienda que todos los dispositivos y redes estén configurados de forma segura, minimizando la exposición a Internet de los dispositivos.
Detalle
Las vulnerabilidades de severidad alta son:
- CVE-2025-1708: neutralización incorrecta de elementos especiales utilizados en un comando SQL (SQL injection). Un atacante es capaz de volcar la base de datos de PostgreSQL y leer su contenido.
- CVE-2025-27461: falta de autorización. Durante el arranque, el dispositivo carga automáticamente el usuario de EPC2 Windows sin solicitar una contraseña.
- CVE-2025-27460: almacenamiento de información sensible en texto claro. Los discos duros del dispositivo no están cifrados usando una función de cifrado de volumen completo como BitLocker. Esto permite a un atacante con acceso físico al dispositivo utilizar un sistema operativo alternativo para interactuar con los discos duros, eludiendo completamente el inicio de sesión de Windows. El atacante puede leer y escribir todos los archivos de los discos duros.
- CVE-2025-27456, CVE-2025-27449 y CVE-2025-1710: restricción incorrecta de los intentos de acceso excesivos. El dispositivo no tiene implementadas suficientes medidas para prevenir múltiples intentos fallidos de autenticación en un corto periodo de tiempo, lo que lo hace susceptible a ataques de fuerza bruta.
- CVE-2025-27447: neutralización incorrecta de la entrada durante la generación de páginas web ('Cross-site Scripting'). La aplicación web es susceptible a ataques de cross-site scripting. Un atacante puede crear una URL preparada, que inyecte código JavaScript en el sitio web. El código se ejecutará en el navegador de la víctima cuando un administrador autenticado pulse el enlace.
Para las vulnerabilidades de severidad media se puede consultar su identificador y descripción en el enlace de las referencias.
Listado de referencias
