Múltiples vulnerabilidades en productos Schneider Electric
- Modicon Controllers M241 / M251, versiones anteriores a 5.3.12.48;
- Modicon Controllers M258 / LMC058;
- Wiser AvatarOn 6K Freelocate;
- Wiser Cuadro H 5P Socket;
- PrismaSeT Active - Wireless Panel Server;
- Galaxy VS;
- Galaxy VL;
- Galaxy VXL.
Los productos de Schneider Electric están afectados por 3 vulnerabilidades, 2 de ellas de severidad alta y una crítica. Su explotación podría permitir la lectura de archivos arbitrarios sin autorización, ejecución del código del atacante de forma persistente y ejecución no autorizada de código.
Para los siguientes productos, actualizar a la versión indicada:
- Modicon Controllers M241/M251, versión 5.3.12.48.
Los siguientes productos aún no disponen de un parche de seguridad. El proveedor está trabajando en poder ofrecerlo en breve, pero mientras tanto, se recomienda seguir las siguientes acciones para mitigar el problema:
- Modicon Controllers M258 / LMC058:
- Utilizar controladores y dispositivos únicamente en un entorno protegido para minimizar la exposición en la red y asegurarse de que no son accesibles desde Internet o desde redes que no sean de confianza.
- Utilizar las funciones de administración de usuario y contraseñas. Los permisos de usuario están habilitados por defecto y se exige crear una contraseña segura la primera vez.
- Deshabilitar el Webserver cuando se deje de usar.
- Emplear enlaces de comunicación codificados cuando estén disponibles.
- Configurar la segmentación de red e instalar un cortafuegos para bloquear todos los accesos no autorizados a puertos 80/HTTP y 443/HTTPS.
- Si necesita acceder en remoto, hágalo a través de túneles VPN.
- Consultar la guía para más acciones específicas “Cybersecurity Guidelines for EcoStruxure Machine Expert Modicon and PacDrive Controllers and Associated Equipment”.
- Galaxy VS, Galaxy VL y Galaxy VXS:
- Iniciar sesión en NMC4 a través de la interfaz web. Cuando haya accedido al sistema vaya a la página de configuración de la consola desde la barra de menú navegando por Configuration -> Network -> Console -> Access.
- Desde la pantalla de configuración, desmarque la casilla de verificación "habilitar SSH/SFTP/SCP" y haga clic en "Aplicar".
Los siguientes productos han alcanzado el final de su vida útil y el fabricante no tiene previsto sacar una actualización. En las referencias del aviso puede encontrar información adicional del fabricante con diversas propuestas de mitigación.
- Wiser AvatarOn 6K Freelocate;
- Wiser Cuadro H 5P Socket;
- PrismaSeT Active -Wireless Panel Server.
Las vulnerabilidades son:
- CVE-2025-2875, de severidad alta. Referencia controlada externamente a un recurso en otra esfera, podría provocar una pérdida de confidencialidad cuando un atacante, no autenticado, manipula la URL del servidor web del controlador para acceder a los recursos.
- CVE-2023-4041, de severidad crítica. Afecta a un componente de terceros, en concreto, Silicon Labs Gecko Bootloader que se emplea en los productos Wiser y PrismaSeT. La vulnerabilidad es de tipo desbordamiento del búfer y puede permitir la inyección de código.
- CVE-2025-32433, de severidad crítica. Afecta al componente de terceros Erlang/OTP que se emplea en los productos Galaxy. Esta vulnerabilidad impacta en el componente SSH y puede permitir la ejecución de código en remoto (RCE) de forma no autenticada, lo que puede derivar en la capacidad de monitorización del UPS y su potencial funcionamiento.
