Cinco nuevos avisos de SCI
Índice
- Múltiples vulnerabilidades en LabVIEW de National Instruments
- Omisión de autenticación en función crítica en Xport de Lantronix
- Múltiples vulnerabilidades en el módulo smartRTU de Mitsubishi Electric
- Uso de un generador de números pseudoaleatorios criptográficamente débil en COMMGR de Delta Electronics
- Múltiples vulnerabilidades en ThinManager de Rockwell Automation
Múltiples vulnerabilidades en LabVIEW de National Instruments
LabVIEW: 2025 Q1 y versiones anteriores.
Michael Heinzl ha informado sobre 2 vulnerabilidades que podrían permitir a un atacante ejecutar código arbitrario en las instalaciones afectadas de LabVIEW, lo que podría generar escrituras de memoria no válidas.
National Instruments ha lanzado parches para los productos afectados.
Existen 2 vulnerabilidades de escritura fuera de límites en NI LabVIEW, debidas a una comprobación incorrecta de límites. Estas vulnerabilidades pueden provocar la divulgación de información o la ejecución de código arbitrario. Para explotarlas, el atacante debe obligar al usuario a abrir un VI especialmente diseñado.
Se han asignado los identificadores CVE-2025-2631 y CVE-2025-2632 para estas vulnerabilidades.
Omisión de autenticación en función crítica en Xport de Lantronix
- Xport, versiones desde la 6.5.0.7 hasta la 7.0.0.3.
Souvik Kandar de Microsec (microsec.io) ha reportado a CISA esta vulnerabilidad de severidad crítica que, de ser explotada, podría permitir a un atacante, no autorizado, el acceso a la interfaz de configuración e interrumpir la monitorización y realización de operaciones.
El fabricante recomienda actualizar a su producto Xport Edge que proporciona una suite de seguridad más actualizada y completa. De hecho, Xport Edge no se ve afectado por esta vulnerabilidad.
Si lo desean, los usuarios pueden contactar directamente con Lantronix para recibir asistencia.
Un atacante podría modificar o deshabilitar la configuración, interrumpir la monitorización de combustible y las operaciones de la cadena de suministro, lo que provocaría la desactivación de la monitorización de ATG. Esto podría generar riesgos de seguridad en el almacenamiento y transporte de combustible.
Se ha asignado el identificador CVE-2025-2567 para esta vulnerabilidad.
Múltiples vulnerabilidades en el módulo smartRTU de Mitsubishi Electric
- smartRTU, versión 3.37 y anteriores.
Noam Moshe de Claroty Team82 ha reportado 2 vulnerabilidades, una de severidad crítica y otra de severidad alta que, de ser explotadas, podrían permitir a un atacante ejecutar comandos de su elección en el Sistema Operativo o provocar una denegación de servicio (DoS).
El fabricante no tiene previsto lanzar ninguna actualización que solucione el problema. Sin embargo, ofrece las siguientes recomendaciones de mitigación:
- Utilizar un cortafuegos o una red privada virtual (VPN) para prevenir el acceso, no autorizado, cuando es preciso tener acceso a Internet.
- Utilizar el producto dentro de una LAN y bloquear mediante cortafuegos el acceso desde redes y host que no sean de confianza.
- Utilizar Cortafuegos de Aplicación Web (WAF) para filtrar, monitorizar y bloquear cualquier tráfico HTTP/HTTPS malicioso.
- Permitir únicamente el acceso de clientes web que procedan de redes de confianza.
La vulnerabilidad de severidad crítica se produce por una neutralización incorrecta de elementos especiales que se utilizan en un comando del Sistema Operativo. Un atacante remoto, no autenticado, que haya evitado la autenticación podría ejecutar comandos arbitrarios del Sistema Operativo para divulgar, manipular, destruir o eliminar información o provocar una denegación de servicio (DoS) en el producto. Se ha asignado el identificador CVE-2025-3128 para esta vulnerabilidad.
La vulnerabilidad de severidad alta se produce por una falta de autenticación en una función crítica. Un atacante remoto, no autenticado, podría omitir la autenticación empleando una ruta específica para el API y así ejecutar de forma arbitraria comandos del Sistema Operativo. Se ha asignado el identificador CVE-2025-3232 para esta vulnerabilidad.
Uso de un generador de números pseudoaleatorios criptográficamente débil en COMMGR de Delta Electronics
- COMMGR (Version 1): todas las versiones;
- COMMGR (Version 2): todas las versiones.
Trend Micro's Zero Day Initiative ha reportado una vulnerabilidad de severidad crítica que podría permitir a un atacante ejecutar código arbitrario remotamente.
La versión 1 del software COMMGR ha llegado al final de su vida útil (EOL). Delta Electronics publicará una corrección para la versión 2 del software COMMGR.
El software utiliza valores insuficientemente aleatorios para generar identificadores de sesión. Un atacante podría forzar fácilmente un ID de sesión y cargar y ejecutar código arbitrario.
Se ha asignado el identificador CVE-2025-3495 para esta vulnerabilidad.
Múltiples vulnerabilidades en ThinManager de Rockwell Automation
Las siguientes versiones de software ThinManager están afectadas:
- versiones 14.0.0 y 14.0.1 (CVE-2025-3617);
- versiones 14.0.1 y anteriores (CVE-2025-3618).
Rockwell Automation ha publicado 2 vulnerabilidades de severidad alta, cuya explotación podría permitir a un atacante realizar una escalada local de privilegios o provocar una condición de denegación de servicio (DoS).
Rockwell Automation ha lanzado las siguientes versiones de software, las cuales dan solución a las vulnerabilidades reportadas:
- para CVE-2025-3617: versiones 14.0.2 y posteriores;
- para CVE-2025-3618: versiones 11.2.11, 12.0.9, 12.1.10, 13.0.7, 13.1.5, 13.2.4, 14.0.2 y posteriores.
- Vulnerabilidad de escalada de privilegios. Cuando se inicia el software, se eliminan los archivos de la carpeta temporal, lo que provoca que la entrada de control de acceso del directorio herede los permisos del directorio principal. Si se explota, un actor de amenaza podría heredar privilegios elevados. Se ha asignado el identificador CVE-2025-3617 para esta vulnerabilidad.
- Vulnerabilidad de denegación de servicio. El software no verifica adecuadamente el resultado de la asignación de memoria al procesar mensajes de tipo 18. Si se explota, un actor de amenaza podría causar una denegación de servicio en el software de destino. Se ha asignado el identificador CVE-2025-3618 para esta vulnerabilidad.