Múltiples vulnerabilidades en productos de Festo

Fecha de publicación 01/10/2025

Identificador

INCIBE-2025-0527

Importancia

5 - Crítica

Recursos Afectados

Festo Firmware (R05 (17.06.2016) = 2.3.8.0) instalado en Festo Hardware Controller CECC-D (todas las versiones);
Festo Firmware (R06 (11.10.2016) = 2.3.8.1) instalado en Festo Hardware Controller CECC-LK (todas las versiones);
Festo Firmware (R05 (17.06.2016) = 2.3.8.0) instalado en Festo Hardware Controller CECC-S (todas las versiones);
Festo Firmware (R06 (11.10.2016) = 2.3.8.1) instalado en Festo Hardware Controller CECC-LK (todas las versiones);
Festo Firmware (R05 (17.06.2016) = 2.3.8.0) instalado en Festo Hardware Controller CECC-S (todas las versiones);
Festo Firmware (R06 (11.10.2016) = 2.3.8.1) instalado en Festo Hardware Controller CECC-S (todas las versiones);
Festo Firmware instalado en Festo Hardware Control block CPX-CEC-C1, versiones 2.0.12 y anteriores;
Festo Firmware instalado en Festo Hardware Control block CPX-CMXX, versiones 1.2.34 rev.404 y anteriores;
Festo Firmware instalado en Festo Hardware Control block-SET CPX-CEC-C1, versiones 1.2.34 rev.404 y anteriores;
Festo Firmware instalado en Festo Hardware SBOC-Q-R1B, todas las versiones;
Festo Firmware instalado en Festo Hardware SBOC-Q-R1B-S1, todas las versiones;
Festo Firmware instalado en Festo Hardware SBOC-Q-R1C, todas las versiones;
Festo Firmware instalado en Festo Hardware SBOC-Q-R1C-S1, todas las versiones;
Festo Firmware instalado en Festo Hardware SBOC-Q-R2B, todas las versiones;
Festo Firmware instalado en Festo Hardware SBOC-Q-R2B-S1, todas las versiones;
Festo Firmware instalado en Festo Hardware SBOC-Q-R2C, todas las versiones;
Festo Firmware instalado en Festo Hardware SBOC-Q-R3B-WB, todas las versiones;
Festo Firmware instalado en Festo Hardware SBOC-Q-R3B-WB-S1, todas las versiones;
Festo Firmware instalado en Festo Hardware SBOC-Q-R3C-WB, todas las versiones;
Festo Firmware instalado en Festo Hardware SBOC-Q-R3C-WB-S1, todas las versiones;
Festo Firmware instalado en Festo Hardware SBOI-Q-R1B, todas las versiones;
Festo Firmware instalado en Festo Hardware SBOI-Q-R1B-S1, todas las versiones;
Festo Firmware instalado en Festo Hardware SBOI-Q-R1C, todas las versiones;
Festo Firmware instalado en Festo Hardware SBOI-Q-R1C-S1, todas las versiones;
Festo Firmware instalado en Festo Hardware SBOI-Q-R3B-WB, todas las versiones;
Festo Firmware instalado en Festo Hardware SBOI-Q-R3B-WB-S1, todas las versiones;
Festo Firmware instalado en Festo Hardware SBOI-Q-R3C-WB, todas las versiones;
Festo Firmware instalado en Festo Hardware SBOI-Q-R3C-WB-S1, todas las versiones;
Festo Firmware instalado en Festo Hardware SBRD-Q, todas las versiones.

Para conocer las vulnerabilidades que afectan a cada producto se recomienda consultar los enlaces de las referencias.

Descripción

Festo ha informado de 34 vulnerabilidades que afectan a sus productos, 5 de severidad crítica, 23 alta y 6 de severidad media. En caso de ser explotadas las vulnerabilidades pueden provocar la caída de los servicios, escalada de privilegios, eludir la autenticación u obtener acceso no autorizado a información sensible.

Solución

Siempre que sea posible, actualizar el producto a la última versión.

En caso de que no sea posible actualizarlo, consultar las recomendaciones del fabricante disponibles en los enlaces de las referencias.

Detalle

Las vulnerabilidades de severidad crítica son:

CVE-2020-10245: escritura fuera de límite. El servidor web CODESYS V3 anterior a 3.5.15.10 como el que se emplea en los sistemas CODESYS Control Runtime, tiene un desbordamiento de búfer.
CVE-2021-33485: escritura fuera de límite. El sistema CODESYS Control Runtime anterior a 3.5.17.10 tiene un desbordamiento del búfer basado en montículo.
CVE-2018-10612: falta de cifrado en información sensible. En los productos S-Smart Software Solutions GmbH CODESYS Control V3 anteriores a la versión 3.5.14.0, no tienen habilitado por defecto la gestión de acceso de usuarios ni el cifrado de la comunicación, lo que podría permitir a un atacante acceder al dispositivo y a información sensible, incluyendo las credenciales de usuario.
CVE-2019-13548: escritura fuera de límite. El servidor web CODESYS V3 anterior a 3.5.14.10, permite a un atacante enviar solicitudes HTTP o HTTPS especialmente manipuladas lo que puede derivar en un desbordamiento de pila, una condición de denegación de servicio (DoS) o la ejecución de código en remoto.
CVE-2019-18858: copia del búfer sin comprobar el tamaño de entrada (clásico desbordamiento del búfer). El servidor web CODESYS V3 anterior a 3.5.15.20, como el que se emplea en los sistemas CODESYS Control Runtime, tiene un desbordamiento de búfer.

Las vulnerabilidades de severidad alta son CVE-2022-22515, CVE-2022-22514, CVE-2021-36763, CVE-2019-9008, CVE-2020-15806, CVE-2019-9009, CVE-2019-9013, CVE-2020-12067, CVE-2020-12069, CVE-2021-36764, CVE-2019-9012, CVE-2019-5105, CVE-2021-29241, CVE-2021-29242, CVE-2022-22519, CVE-2022-22517, CVE-2019-13532, CVE-2018-20025, CVE-2022-3079, CVE-2021-27478, CVE-2021-27482, CVE-2021-27500, CVE-2021-27498.

El detalle de las vulnerabilidades se puede consultar en los enlaces de las referencias.

CVE

Explotación

Fabricante

festo

Identificador CVE

CVE-2020-10245

Severidad

Crítica

Explotación

Fabricante

festo