Instituto Nacional de ciberseguridad. Sección Incibe

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Dos nuevos avisos de SCI

Índice

  • Múltiples vulnerabilidades en productos de Hitachi Energy
  • Múltiples vulnerabilidades en Proteus de Labcenter

Múltiples vulnerabilidades en productos de Hitachi Energy

Fecha08/07/2026
Importancia4 - Alta
Recursos Afectados
  • PROMOD V versiones 1.0.10 y anteriores;
  • e-mesh EMS versiones 4.1.6, 4.4.2 y 4.7.0.
Descripción

El equipo internacional de Hitachi Energy ha informado sobre dos vulnerabilidades de severidad alta que, en caso de ser explotadas, podrían provocar una denegación de servicio, ejecución de código remoto y robo de credenciales, secuestro de sesión o acceso no autorizado.

Solución
  • PROMOD V: actualizar a la versión 1.0.11 y habilitar HTTPS en el servidor Digipede;
  • e-mesh EMS: actualizar NGINX a la versión 1.30.2 o la más reciente.
Detalle
  • CVE-2026-10763: PROMOD V utiliza comunicación HTTP insegura en lugar de HTTPS. La vulnerabilidad se debe a la falta de compatibilidad con HTTPS por parte del servidor Digipede de terceros.
  • CVE-2026-42945: NGINX Plus y NGINX Open Source utilizados en e-mesh EMS presentan una vulnerabilidad en el módulo ngx_http_rewrite_module. Esta vulnerabilidad se produce cuando la directiva rewrite va seguida de una directiva rewrite, if o set y una captura de expresión regular compatible con Perl (PCRE) sin nombre (por ejemplo, $1, $2) con una cadena de reemplazo que incluye un signo de interrogación (?). Un atacante no autenticado, junto con condiciones fuera de su control, puede explotar esta vulnerabilidad enviando solicitudes HTTP manipuladas. Esto puede provocar un desbordamiento de búfer en el proceso de trabajo de NGINX, lo que conlleva un reinicio. Además, los atacantes pueden ejecutar código en sistemas con la aleatorización del espacio de direcciones (ASLR) deshabilitada o cuando el atacante puede eludir ASLR.

Múltiples vulnerabilidades en Proteus de Labcenter

Fecha08/07/2026
Importancia4 - Alta
Recursos Afectados

Proteus 9.1_SP4_Build_42914.

Descripción

Michael Heinzl ha informado sobre 3 vulnerabilidades de severidad alta que, en caso de ser explotadas, podrían revelar información y permitir que un usuario malintencionado ejecute código arbitrario en las instalaciones afectadas.

Solución

Labcenter recomienda asegurarsede utilizar la versión más reciente (9.2 SPO) del software.

Detalle
  • CVE-2026-42953: escritura fuera de límites que un atacante puede explotar para que el programa escriba datos más allá del final del búfer de memoria asignado. Esto puede dar lugar a la ejecución de código arbitrario.
  • CVE-2026-49033: desbordamiento de búfer basada en la pila que un atacante puede explotar para ejecutar código arbitrario.
  • CVE-2026-42958: uso de memoria liberada que puede ser explotada para provocar corrupción de memoria durante el análisis de archivos especialmente diseñados. Esto podría permitir a un atacante ejecutar código arbitrario en el contexto del proceso actual.