Dos nuevos avisos de SCI
Índice
- Ejecución de privilegios innecesarios en reproductores de Brightsign
- Uso de credenciales codificadas en ONS NC600 de Optigo Networks
Ejecución de privilegios innecesarios en reproductores de Brightsign
Reproductores BrightSign OS:
- serie 4: versiones anteriores a la v8.5.53.1;
- serie 5: versiones anteriores a la v9.0.166.
Adam Merrill ha informado sobre una vulnerabilidad de severidad alta que podría permitir la escalada de privilegios en el dispositivo, contraseñas fáciles de adivinar o la ejecución de código arbitrario en el sistema operativo subyacente.
Actualizar a las versiones:
- v8.5.53.1 los reproductores de la serie 4.
- v9.0.166 los reproductores de la serie 5.
Los reproductores contienen una vulnerabilidad de ejecución con privilegios innecesarios, lo que permite la escalada de privilegios en el dispositivo una vez que se ha logrado la ejecución del código.
Se ha asignado el identificador CVE-2025-3925 para esta vulnerabilidad.
Uso de credenciales codificadas en ONS NC600 de Optigo Networks
ONS NC600: versiones 4.2.1-084 a 4.7.2-330.
Tomer Goldschmidt, de Claroty, Team82 ha informado sobre una vulnerabilidad de severidad crítica que podría permitir a un atacante establecer una conexión autenticada con las credenciales codificadas y ejecutar comandos en el sistema operativo.
Optigo Networks recomienda implementar, al menos, una de las siguientes mitigaciones:
- Utilizar una NIC dedicada en el dispositivo BMS y utilizar un ordenador exclusivamente para conectarse a OneView para administrar la configuración de la red OT.
- Configurar un firewall con una lista blanca para los dispositivos autorizados a acceder a OneView.
- Conectarse a OneView a través de una VPN segura.
En las versiones afectadas de Optigo Networks ONS NC600, un atacante podría conectarse con el servidor ssh del dispositivo y utilizar los componentes del sistema para ejecutar comandos del sistema operativo.
Se ha asignado el identificador CVE-2025-4041 para esta vulnerabilidad.