Tres nuevos avisos de SCI
Índice
- Múltiples vulnerabilidades en Cloud Connect Advanced de Tigo Energy
- Múltiples vulnerabilidades en ICMHelper de Dräger
- Múltiples vulnerabilidades de Arena® Simulation de Rockwell Automation
Múltiples vulnerabilidades en Cloud Connect Advanced de Tigo Energy
Cloud Connect Advanced: versiones 4.0.1 y anteriores.
Anthony Rose y Jacob Krasnov, de BC Security, y Peter Kariuki, de Ovanova han informado sobre 3 vulnerabilidades: 1 de severidad crítica y 2 altas. La explotación exitosa de estas vulnerabilidades podría permitir a los atacantes obtener acceso administrativo no autorizado mediante credenciales codificadas, escalar privilegios para tomar el control total del dispositivo, modificar configuraciones del sistema, interrumpir la producción de energía solar, interferir con los mecanismos de seguridad, ejecutar comandos arbitrarios mediante inyección de comandos, causar interrupciones del servicio, exponer datos confidenciales y, debido a la generación insegura de identificaciones de sesión, recrear identificaciones de sesión válidas para acceder a funciones confidenciales del dispositivo en sistemas de inversores solares conectados.
Tigo Energy está al tanto de estas vulnerabilidades y está trabajando activamente para solucionarlas.
- CVE-2025-7768: el dispositivo contiene credenciales codificadas que permiten a usuarios, no autorizados, obtener acceso administrativo. Esta vulnerabilidad podría permitir a los atacantes escalar privilegios y tomar el control total del dispositivo, lo que podría modificar la configuración del sistema, interrumpir la producción de energía e interferir con los mecanismos de seguridad.
- CVE-2025-7769: inyección de comandos en el endpoint '/cgi-bin/mobile_api' al ejecutar el comando DEVICE_PING, lo que podría permitir la ejecución remota de código debido al manejo inadecuado de la entrada del usuario. Al usar las credenciales predeterminadas, esto podría permitir a los atacantes ejecutar comandos arbitrarios en el dispositivo, lo que provocaría acceso no autorizado, interrupción del servicio y exposición de datos.
- CVE-2025-7770: generación insegura de identificadores de sesión en su API remota. Estos identificadores se generan mediante un método predecible basado en la marca de tiempo actual, lo que permitiría a los atacantes recrear identificadores de sesión válidos. Esto, junto con la capacidad de omitir los requisitos de identificador de sesión para ciertos comandos, podría permitir el acceso no autorizado a funciones sensibles del dispositivo en los sistemas de optimización solar conectados.
Múltiples vulnerabilidades en ICMHelper de Dräger
Dräger ICMHelper: versiones 1.4.0.1 y anteriores.
CERT@VDE coordinado con Dräger ha publicado 2 vulnerabilidades: una de severidad alta y otra media. Un atacante local con pocos privilegios podría explotar esta vulnerabilidad para ejecutar comandos del sistema operativo con los privilegios más altos.
El problema se ha solucionado en la versión 2.0.1.0 de ICMHelper.
Combinando las vulnerabilidades CVE-2025-2810 y CVE-2025-41698, un atacante podría obtener acceso completo a la aplicación, a información confidencial, al sistema cliente y el servidor.
Múltiples vulnerabilidades de Arena® Simulation de Rockwell Automation
Arena® Simulation, versión 16.20.09 y anteriores.
Rockwell Automation ha publicado 3 vulnerabilidades de severidad alta que podrían permitir a un atacante ejecutar código o divulgar información.
Los usuarios deben actualizar a la versión corregida 16.20.10 y posteriores.
El producto gestiona incorrectamente la memoria. Un archivo malicioso puede hacer que Arena Simulation lea y escriba más allá del espacio de memoria asignado. Su explotación requiere intervención del usuario, como la apertura del archivo. Esta vulnerabilidad podría permitir a un atacante ejecutar código u obtener información. Se han asignado los identificadores CVE-2025-7025, CVE-2025-7032 y CVE-2025-7033.