Múltiples vulnerabilidades en productos de Schneider Electric
Fecha de publicación 11/11/2025
Identificador
INCIBE-2025-0624
Importancia
4 - Alta
Recursos Afectados
- PowerChute™ Serial Shutdown: versiones v1.3 y anteriores;
- EcoStruxureTM Machine SCADA Expert: versiones inferiores a 2023.1 Patch 1;
- Pro-face BLUE Open Studio: versiones inferiores a 2023.1 Patch 1.
Descripción
Schneider Electric ha publicado información acerca de 4 vulnerabilidades de severidad alta, cuya explotación podría permitir a un atacante llevar a cabo una elevación de privilegios o un acceso no autenticado, así como ataques de recuperación de contraseñas por fuerza bruta.
Solución
Actualizar los distintos productos afectados a la versión correctora correspondiente:
- PowerChute™ Serial Shutdown: versión v1.4;
- EcoStruxureTM Machine SCADA Expert: versión 2023.1 Patch 1;
- Pro-face BLUE Open Studio: versión 2023.1 Patch 1.
Detalle
- CVE-2025-11565: Path Traversal provocado por una validación insuficiente de la ruta de acceso a directorios restringidos, que podría permitir un acceso con privilegios elevados al sistema si un administrador web en la red local modifica la carga útil de la solicitud POST '/REST/UpdateJRE'.
- CVE-2025-11566: restricción inadecuada de intentos de autenticación excesivos que permitiría a un atacante en la red local obtener acceso a la cuenta de usuario realizando un número arbitrario de intentos de autenticación con diferentes credenciales en el endpoint '/REST/shutdownnow'.
- CVE-2025-11567: vulnerabilidad de permisos predeterminados incorrectos que podría provocar un acceso con permisos elevados al sistema cuando la carpeta de instalación de destino no está protegida adecuadamente.
- CVE-2025-9317: vulnerabilidad por uso de un algoritmo criptográfico inseguro. Si se explota esta vulnerabilidad, un atacante con acceso de lectura a los archivos de Edge Project o Edge Offline Cache podría realizar ingeniería inversa de las contraseñas nativas de la aplicación o de Active Directory de los usuarios de Edge mediante el uso de fuerza bruta computacional de hash débiles.
CVE
Explotación
No
Listado de referencias
