Instituto Nacional de ciberseguridad. Sección Incibe

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Cinco nuevos avisos de SCI y tres actualizaciones

Índice

  • Múltiples vulnerabilidades en PI Integrator de AVEVA
  • Vulnerabilidades en Santesoft Sante PACS Server de Santesoft
  • Múltiples vulnerabilidades en productos de Johnson Controls
  • Múltiples vulnerabilidades en productos de Ashlar-Vellum
  • Múltiples vulnerabilidades en productos Schneider
  • [Actualización 13/08/2025] Validación de entrada inadecuada en Telenium de MegaSys Computer Technologies
  • [Actualización 13/08/2025] Múltiples vulnerabilidades en productos Schneider Electric
  • [Actualización 13/08/2025] Escritura fuera de los límites en módulos de comunicación Modicon de Schneider Electric

Múltiples vulnerabilidades en PI Integrator de AVEVA

Fecha13/08/2025
Importancia4 - Alta
Recursos Afectados

PI Integrator for Business Analytics, versiones 2020 R2 SP1 y anteriores.

Descripción

Maxime Escourbiac de Michelin CERT y Adam Bertrand de Abicom han descubierto 2  vulnerabilidades de severidad alta que, en caso de ser explotadas, podrían permitir a un atacante acceder a información sensible o subir y ejecutar ficheros.

Solución

El fabricante recomienda a las organizaciones evaluar el impacto de estas vulnerabilidades en función de su entorno de operaciones, arquitectura e implementación de productos. 

Los usuarios que tengan alguna versión del producto afectado deben instalar las actualizaciones de seguridad para mitigar el riesgo de explotación. La versión a instalar que soluciona la vulnerabilidad es la PI Integrator for Business Analytics, versión 2020 R2 SP2 o superior. Para instalarla en los sistemas debe seguir los pasos:

  1. Acceder a OSISoft Customer Portal
  2. Registrarse en la página
  3. Buscar el componente “PI Integrator for Business Analytics”
  4. Seleccionar la versión 2020 R2 SP2 o superior

De forma adicional, AVEVA recomienda realizar las siguientes medidas defensivas generales: 

Detalle

Cada una ellas consiste en:

  • CVE-2025-54460: un atacante autenticado con privilegios para crear o acceder a objetivos de publicación de texto de tipo File o HDFS, puede subir y garantizar la persistencia de archivos que, potencialmente, podrían ser ejecutados.
  • CVE-2025-41415: un atacante autenticado con privilegios para acceder a los objetivos de publicación, puede recuperar información sensible que luego pueda utilizarse para obtener acceso adicional a recursos posteriores.

Vulnerabilidades en Santesoft Sante PACS Server de Santesoft

Fecha13/08/2025
Importancia5 - Crítica
Recursos Afectados

Santesoft Sante PACS Server, versiones anteriores a 4.2.3.

Descripción

Chizuru Toyama de TXOne Networks ha descubierto 5 vulnerabilidades en Santesoft Sante PACS Server de Santesoft, 1 de severidad crítica, 1 de severidad alta y 3 de severidad media. Una explotación exitosa de estas vulnerabilidades podría permitir a un atacante crear ficheros arbitrarios, causar una denegación del servicio, obtener información sensible y robar la cookie del usuario.

Solución

Santesoft recomienda a los usuarios actualizar PACS Server a la versión 4.2.3 o posterior.

Detalle

Las vulnerabilidades de severidad crítica y alta son:

  • CVE-2025-53948: Sante PACS Server permite a un atacante remoto finalizar el hilo principal enviando un mensaje HL7 manipulado, produciendo una denegación del servicio. No hace falta autenticación, y la aplicación requeriría un reinicio manual.
  • CVE-2025-54156: El portal web de Sante PACS Server envía la información de las credenciales sin ninguna clase de cifrado.

Múltiples vulnerabilidades en productos de Johnson Controls

Fecha13/08/2025
Importancia4 - Alta
Recursos Afectados

Modelos de controladores de puertas:

  • iSTAR Ultra;
  • iSTAR Ultra SE;
  • iSTAR Ultra G2;
  • iSTAR Ultra G2 SE;
  • iSTAR Edge G2.
Descripción

Reid Wightman de Dragos ha informado de 6 vulnerabilidades, 5 de severidad alta y 1 media que, en caso de ser explotadas, podrían permitir a un atacante modificar el firmware y acceder al espacio protegido por el dispositivo.

Solución

Actualizar los productos a la versión 6.9.3 o superior. Adicionalmente, se recomienda desactivar el servidor web en iSTAR tras la instalación inicial, tal como se indica en la guía de securización (hardening).

Para las vulnerabilidades CVE-2025-53698 y CVE-2025-53699, asegurarse de que el acceso físico al controlador de puertas iSTAR Ultra e iSTAR Ultra SE está limitado al personal autorizado. Los controladores de puertas deben instalarse en un recinto cerrado con un interruptor físico antisabotaje, de acuerdo con las normas industriales y tal y como se indica en el manual de instalación y la guía de securización.

Detalle

Para cada vulnerabilidad de severidad alta se indica su identificador y su tipo:

  • CVE-2025-53695: Inyección de comandos de SO;
  • CVE-2025-53696: Verificación insuficiente de la autenticidad de los datos;
  • CVE-2025-53697: Uso de credenciales por defecto;
  • CVE-2025-53698 y CVE-2025-53699: Falta de mecanismos de autenticación para una interfaz hardware alternativa.

La vulnerabilidad de severidad media tiene asignado el identificador CVE-2025-53700 y su detalle puede consultarse en el enlace de las referencias.

Múltiples vulnerabilidades en productos de Ashlar-Vellum

Fecha13/08/2025
Importancia4 - Alta
Recursos Afectados
  • Cobalt, versiones anteriores a 12.6.1204.204;
  • Xenon, versiones anteriores a 12.6.1204.204;
  • Argon, versiones anteriores a 12.6.1204.204;
  • Lithium, versiones anteriores a 12.6.1204.204;
  • Cobalt Share, versiones anteriores a 12.6.1204.204.
Descripción

Michael Heinzl ha descubierto 4 vulnerabilidades de severidad alta en los productos Cobalt, Xenon, Argon, Lithium y Cobalt Share de Ashlar-Vellum. Una explotación exitosa de estas vulnerabilidades podría permitir a un atacante obtener de información y ejecutar código arbitrario.

Solución

Ashlar-Vellum recomienda vehementemente que todos los usuarios actualicen los productos Cobalt, Xenon, Argon, Lithium y Cobalt Share a la última versión disponible utilizando "Help > Check Web for Updates" desde el menú principal de la aplicación. La versión a la que se recomienda actualizar es la 12.6.1204.204 o superior.

Como medida preventiva se recomienda a los usuarios abrir únicamente abrir archivos de CO/XE/AR/LI o importar formatos de archivo soportados desde fuentes confiables.

Detalle

Las vulnerabilidades, de severidad alta, afectan a las cinco aplicaciones para distintos tipos de fichero:

  • CVE-2025-53705: para archivos CO;
  • CVE-2025-41392: para archivos AR files;
  • CVE-2025-52584: para archivos XE;
  • CVE-2025-46269: para archivos VC6;

En todos los casos, las aplicaciones no validan correctamente los datos de usuario al parsear estos ficheros. Lo cual podría llevar a una escritura fuera de límites, permitiendo ejecutar código en el contexto del proceso.

Múltiples vulnerabilidades en productos Schneider

Fecha13/08/2025
Importancia4 - Alta
Recursos Afectados

El listado de productos afectados es el siguiente; no obstante, cabe destacar que no todos los productos están afectados por todas las vulnerabilidades. Para más detalle consultar los enlaces de las referencias.

  • SESU, versiones anteriores a v3.0.12;
  • EcoStruxure Power Monitoring Expert, versiones 2022, 2023, 2024 y 2024 R2;
  • EcoStruxure Power Operation (EPO) Advanced Reporting and Dashboards Module: versiones 2022 y 2024 Advancing Reporting Module;
  • Saitel DR RTU, versiones 11.06.29 y 11.06.34 y anteriores;
  • Modicon M340;
  • BMXNOR0200H: Ethernet / Serial RTU Module;
  • BMXNGD0100: M580 Global Data module;
  • BMXNOC0401: Modicon M340 X80 Ethernet Communication modules;
  • BMXNOE0100: Modbus/TCP Ethernet Modicon M340 module, versiones anteriores a 3.60;
  • BMXNOE0110: Modbus/TCP Ethernet Modicon M340 FactoryCast module, versiones anteriores a 6.80.
Descripción

Los productos de Schneider Electric están afectados por 8 vulnerabilidades, 7 de severidad alta y 1 crítica que, en caso de ser explotadas, podrían permitir a un atacante remoto leer ficheros arbitrarios de la máquina objetivo o acceder de forma directa a servicios internos.

Solución

Siempre que sea posible, actualizar a la última versión. En algunos casos, la última versión no soluciona todas las vulnerabilidades sino solo algunas de ellas. Para el resto de vulnerabilidades el fabricante está trabajando en nuevos parches que las resuelvan.

Para más detalle de si un producto y versión concretas tienen parche, vulnerabilidades que se corrigen, sugerencias de actualización y sugerencias de mitigación mientras se resuelve la vulnerabilidad, se recomienda consultar los enlaces de las referencias.

Detalle

Las vulnerabilidades de severidad alta tienen los siguientes identificadores y tipo de vulnerabilidad:

  • CVE-2025-5296: Resolución inadecuada de enlace previo al acceso al fichero;
  • CVE-2025-54923: Deserialización de datos no confiables;
  • CVE-2025-54924 y CVE-2025-54925: Falsificación de solicitudes del lado del servidor (SSRF);
  • CVE-2025-54926: Limitación inadecuada de un nombre de ruta a un directorio restringido;
  • CVE-2025-8453: Gestión inadecuada de privilegios;
  • CVE-2025-6625: Validación incorrecta de entrada.

[Actualización 13/08/2025] Validación de entrada inadecuada en Telenium de MegaSys Computer Technologies

Fecha20/09/2024
Importancia5 - Crítica
Recursos Afectados

Telenium Online Web Aplicación: versiones 8.3 y anteriores.

Descripción

Blake Rash y Bryan Sears han reportado una vulnerabilidad de severidad crítica que podría llevar a una ejecución de código remoto en el servidor.

Solución

MegaSys Tecnologías informáticas ha lanzado los siguientes parches:

  •    Aplicación web de Telenium Online: v7.4.72.
  •   Aplicación web de Telenium Online: v8.3.36.
Detalle

Telenium Online Web Application es vulnerable debido a un script en Perl que se llama para cargar la página de inicio de sesión. Debido a la validación inadecuada de entrada, un atacante podría inyectar código arbitrario a través de una solicitud HTTP elaborada, lo que podría conducir a una ejecución de código remoto en el servidor.

Se ha asignado el identificador CVE-2024-6404 para esta vulnerabilidad.

[Actualización 13/08/2025] Múltiples vulnerabilidades en productos Schneider Electric

Fecha15/01/2025
Importancia4 - Alta
Recursos Afectados
  • Todas las versiones de los productos:
    • Web Designer para:
      • BMXNOR0200H,
      • BMXNOE0110(H),
      • BMENOC0311(C),
      • BMENOC0321(C).
    • Procesadores Modicon M340;
    • BMXNOE0100;
    • BMXNOE0110;
    • RemoteConnect and SCADAPackTM x70 Utilities.
  • Modicon M580 CPU (referencias BMEP* y BMEH*, excluida M580 CPU Safety), versiones anteriores a SV4.30.
  • Modicon M580 CPU Safety (números de referencia BMEP58*S y BMEH58*S), versiones anteriores a SV4.21.
  • EVLink Pro AC, versiones anteriores a 1.3.10.
  • BMXNOR0200H, versiones anteriores a SV1.70IR26.
  • PowerLogic™ HDPM6000:
    • versión 0.62.7 afectada por CVE-2024-10497;
    • versiones 0.62.7 y anteriores afectadas por CVE-2024-10498.
Descripción

Schneider Electric ha publicado información sobre 6 vulnerabilidades, 5 de severidad alta y 1 media, que afecta a múltiples productos y cuya explotación podría permitir a un atacante realizar una denegación de servicio (DoS), divulgar información, ejecutar código remoto (RCE), causar indisponibilidad de controladores/módulos, pérdida de confidencialidad y escalar privilegios, 

Solución

Actualizar los productos afectados a las siguientes versiones correctoras:

  • Modicon M580 CPU SV4.30.
  • Modicon M580 CPU Safety SV4.21.
  • EVLink Pro AC 1.3.10.
  • BMXNOR0200H SV1.70IR26.
  • PowerLogic™ HDPM6000 0.62.11 y posteriores.

Para los productos Web Designer y RemoteConnect SCADAPack™ x70 Utilities, aplicar las medidas de mitigación descritas por el fabricante incluidas en la sección Mitigations de sus avisos enlazados en las referencias.

Detalle

Las vulnerabilidades de severidad alta se describen a continuación:

  • Vulnerabilidad de cálculo incorrecto del tamaño del búfer que podría causar una denegación de servicio del producto cuando un usuario no autenticado envía un paquete HTTPS manipulado al servidor web. Se ha asignado el identificador CVE-2024-11425 para esta vulnerabilidad.
  • Vulnerabilidad de restricción inadecuada de referencia de entidad externa XML (XXE) que podría causar la divulgación de información, afectar a la integridad de la estación de trabajo y la posible ejecución remota de código en el equipo afectado, cuando se importa un archivo XML específico en la herramienta de configuración Web Designer. Se ha asignado el identificador CVE-2024-12476 para esta vulnerabilidad.
  • Vulnerabilidad que podría causar divulgación de información de la página web restringida, modificación de la página web y denegación de servicio cuando se modifican páginas web específicas y se invocan funciones restringidas. Se ha asignado el identificador CVE-2024-12142 para esta vulnerabilidad.
  • Vulnerabilidad de deserialización de datos no confiables que podría conducir a la pérdida de confidencialidad, integridad y potencial ejecución remota de código en la estación de trabajo cuando un usuario autenticado no administrador abre un archivo de proyecto malicioso. Se ha asignado el identificador CVE-2024-12703 para esta vulnerabilidad.
  • Vulnerabilidad de anulación de autorización a través de clave controlada que podría permitir a un atacante autorizado escalar privilegios mediante el envío de peticiones HTTPS maliciosas al dispositivo. Se ha asignado el identificador CVE-2024-10497 para esta vulnerabilidad.

La vulnerabilidad de severidad media tiene asignada el identificador CVE-2024-10498.

[Actualización 13/08/2025] Escritura fuera de los límites en módulos de comunicación Modicon de Schneider Electric

Fecha28/02/2025
Importancia5 - Crítica
Recursos Afectados

Los siguientes módulos de comunicación:

  • Modicon M580 BMENOC BMENOC0321: versiones anteriores a SV1.10;
  • Modicon M580 BMECRA BMECRA31210: todas las versiones;
  • Modicon M580/Quantum BMXCRA BMXCRA31200: todas las versiones;
  • Modicon M580/Quantum BMXCRA BMXCRA31210: todas las versiones;
  • Modicon Quantum 140CRA 140CRA31908: todas las versiones;
  • Modicon Quantum 140CRA 140CRA31200: todas las versiones.
Descripción

Schneider Electric ha informado de una vulnerabilidad de severidad alta en módulos de comunicación que podría permitir un ataque de desbordamiento de pila, lo que podría derivar en la pérdida de confidencialidad, integridad y denegación de servicio del dispositivo (DoS).

Solución
  • Modicon M580 BMENOC BMENOC0321: actualizar a la versión SV1.10.
  • Schneider Electric está estableciendo un plan de reparación para todas las versiones futuras de BMECRA, BMXCRA y 140CRA que incluirán una solución para esta vulnerabilidad.
Detalle

La vulnerabilidad podría provocar un desbordamiento de pila en el servidor DHCP en Wind River VxWorks hasta 6.8.

Se ha asignado el identificador CVE-2021-29999 para esta vulnerabilidad.