Dos nuevos avisos de SCI
Índice
- Múltiples vulnerabilidades en CHOCO TEI WATCHER mini
- Múltiples vulnerabilidades en Rockwell Automation
Múltiples vulnerabilidades en CHOCO TEI WATCHER mini
CHOCO TEI WATCHER mini (IB-MCT001), todas la versiones.
Andrea Palanca, de Nozomi Networks, ha reportado 4 vulnerabilidades: 2 de severidad crítica, una alta y una media, cuya explotación podría permitir a un atacante obtener la contraseña de inicio de sesión del producto, obtener acceso no autorizado, manipular los datos del producto y/o modificar la configuración del producto.
Inaba Denki Sangyo Co., Ltd. recomienda a los usuarios seguir las siguientes soluciones para ayudar a mitigar el impacto de estas vulnerabilidades:
- Utilizar el producto dentro de la LAN y bloquear el acceso desde redes y hosts no fiables mediante cortafuegos.
- Utilizar un cortafuegos o una red privada virtual (VPN), etc. para impedir el acceso no autorizado cuando se requiera acceso a Internet, y restringir el acceso a Internet al mínimo.
- Restringir el funcionamiento del producto (incluido el uso/manipulación de tarjetas microSD en el producto) únicamente a usuarios autorizados.
- El producto afectado es vulnerable debido a un requisito de contraseña débil, que puede permitir a un atacante ejecutar un ataque de fuerza bruta que derive en un acceso e inicio de sesión no autorizados. Se ha asignado el identificador CVE-2025-25211 para esta vulnerabilidad de severidad crítica.
- Si un atacante remoto envía una petición HTTP especialmente diseñada al producto, los datos del producto pueden ser obtenidos o borrados, y/o la configuración del producto puede ser alterada. Se ha asignado el identificador CVE-2025-26689 para esta vulnerabilidad de severidad crítica.
- El producto afectado contiene una vulnerabilidad de uso de autenticación del lado del cliente, que puede permitir a un atacante obtener la contraseña de inicio de sesión del producto sin autenticación. Se ha asignado el identificador CVE-2025-24517 para esta vulnerabilidad de severidad alta.
Se ha asignado el identificador CVE-2025-24852 para la vulnerabilidad de severidad media.
Múltiples vulnerabilidades en Rockwell Automation
- 440G TLS-Z, versión v6.001;
- Verve Asset Manager, versiones 1.39 y anteriores.
Rockwell Automation ha reportado 2 vulnerabilidades de severidad alta que podrían permitir a un atacante ejecutar comandos arbitrarios y tomar el control del dispositivo.
Para el producto Verve Asset Manager, actualizar a la versión 1.40.
Para el producto 440G TLS-Z o si no es posible actualizar Verve Asset Manager, el fabricante recomienda seguir las siguientes medidas para mitigar el problema:
- limitar el acceso físico solo a personal autorizado: salas de control, paneles de control, dispositivos, etc.
- Rockwell también ofrece una guía con información sobre cómo mitigar los riesgos de seguridad en los sistemas de control de automatización industrial.
El producto 440G TLS-Z, utiliza el dispositivo STMicroelectronics STM32L4, el cual tiene una vulnerabilidad de ejecución de código local debido a controles de acceso incorrectos. Debido a esta vulnerabilidad un atacante podría revertir las protecciones que controlan el acceso a la interfaz JTAG. Si se explota, un atacante podría tomar el control del dispositivo. Se ha asignado el identificador CVE-2020-27212 para esta vulnerabilidad.
Verve Asset Manager realiza una depuración insuficiente de variables en una parte de la interfaz web de administrador de Verve's Legacy Active Directory Interface (ADI) -obsoleta desde la versión 1.36-, lo que permite a los usuarios modificar una variable con una depuración inadecuada. Si se explota, podría permitir que un atacante con acceso de administrador ejecute comandos arbitrarios en el contexto del contenedor que ejecuta el servicio. Se ha asignado el identificador CVE-2025-1449 para esta vulnerabilidad.