Cuatro nuevos avisos de SCI
Índice
- Avisos de seguridad de Siemens de mayo 2025
- Desbordamiento de búfer en productos de AUMA Riester
- Denegación de servicio en productos Phoenix Contact
- Múltiples vulnerabilidades en productos Schneider Electric
Avisos de seguridad de Siemens de mayo 2025
Están afectados los siguientes productos o familias de productos:
- Polarion
- SIRIUS
- SIMATIC
- Desigo CC
- VersiCharge AC Series
- SINEC NMS
- SINEMA Remote Connect
- Totally Integrated Automation Portal (TIA Portal)
- User Management Component (UMC)
- MS/TP Point Pickup Module
- CPC80 Central Processing/Communication
- CPCI85 Central Processing/Communication
- POWER METER SICAM
- Powerlink IP
- SICAM GridPass
- SICORE Base system
- SIPROTEC 5
- BACnet ATEC
- INTRALOG WMS
- OZW672
- OZW772
- SiPass integrated
- Teamcenter Visualization
- VersiCharge AC
- SCALANCE LPE9403
- RUGGEDCOM ROX II family
Siemens ha publicado en su comunicado mensual varias actualizaciones de seguridad de diferentes productos.
Las actualizaciones que corrigen las vulnerabilidades indicadas pueden obtenerse desde el panel de descarga de Siemens. Para los productos sin actualizaciones disponibles es recomendable aplicar las medidas de mitigación descritas en la sección de 'Referencias'.
Siemens, en su comunicado mensual de parches de seguridad, ha emitido un total de 18 nuevos avisos de seguridad, recopilando un total de 48 vulnerabilidades de distintas severidades, entre ellas 7 críticas que se describen a continuación:
- CVE-2024-3596: El protocolo RADIUS bajo RFC 2865 es susceptible a ataques de falsificación por un atacante local que puede modificar las respuestas Access-Reject o Access-Accept usando un ataque de colisión de prefijo elegido contra la firma MD5 Response Authenticator.
- CVE-2025-26389: El servicio web de los dispositivos afectados no depura los parámetros de entrada requeridos por el endpoint 'exportDiagramPage'. Esto podría permitir a un atacante remoto. no autenticado. ejecutar código arbitrario con privilegios de root.
- CVE-2025-26390: El servicio web de los dispositivos afectados es vulnerable a inyección SQL cuando se comprueban los datos de autenticación. Esto podría permitir a un atacante remoto, no autenticado, evitar la comprobación y autenticarse como usuario Administrador.
- CVE-2024-54085: AMI’s SPx tiene una vulnerabilidad en el BMC por la que un atacante puede evitar la autenciación en remoto a través de la interfaz Redfish Host. Si se logra explotar puede haber una pérdida de confidencialidad, integridad y/o disponibilidad.
- CVE-2025-32469, CVE-2025-33024 y CVE-2025-33025: La interfaz web de la herramienta de los dispositivos afectados es vulnerable a inyección de comandos por la falta de depuración en la entrada del servidor. Esto podría permitir a un atacante autenticado en remoto ejecutar código arbitrario con privilegios de root. Para cada CVE la herramienta afectada es:
- CVE-2025-32469: ping
- CVE-2025-33024: tcpdump
- CVE-2025-33025: traceroute
Para el resto de vulnerabilidades no críticas se pueden ver los detalles e identificadores en las referencias.
Desbordamiento de búfer en productos de AUMA Riester
- AC1.2, desde la versión 06.00.00 hasta la 06.09.04;
- MEC 03.01, versiones anteriores a la 01.02.00;
- PROFOX, versiones anteriores a la 01-01.10.00;
- SGx/SVx, desde la versión 03.00.00 hasta la 03.05.01;
- TIGRE, versiones anteriores a la 01-01.09.00;
- TIGRE SIL, versiones anteriores a la 02-01.01.00.
CERT@VDE en coordinación con AUMA Riester ha publicado una vulnerabilidad de severidad alta. Un atacante remoto, no autenticado, podría provocar un desbordamiento de búfer que podría generar un comportamiento inesperado o un ataque de denegación de servicio (DoS) a través de la interfaz Bluetooth o RS-232.
Para actuadores con Bluetooth, se recomienda actualizar el firmware de los controles del actuador a una nueva versión para evitar un desbordamiento del búfer. Para actuadores sin Bluetooth, se recomienda restringir el acceso físico al actuador o actualizar el firmware si es posible.
Dado que la interfaz Bluetooth o la interfaz RS-232 no son necesarias para el funcionamiento normal, se recomienda activarla o usarla únicamente cuando sea necesaria.
El desbordamiento del búfer podría provocar un comportamiento inesperado o una denegación de servicio (DoS) cuando se produce un envío excesivo de datos en el servicio de telegrama en los actuadores AUMA.
Se ha asignado el identificador CVE-2025-3496 para esta vulnerabilidad.
Denegación de servicio en productos Phoenix Contact
Las siguientes versiones de firmware del acoplador de bus para Axioline F y sistema de E/S remotas Inline están afectados:
- versiones de firmware iguales o anteriores a la 1.33 instalada en AXL F BK PN TPS;
- versiones de firmware iguales o anteriores a la 1.33 instalada en AXL F BK PN TPS XC;
- versiones de firmware iguales o anteriores a la 1.06 instalada en AXL F BK PN (discontinuado);
- versiones de firmware iguales o anteriores a la 1.06 instalada en AXL F BK PN XC (discontinuado);
- versiones de firmware iguales o anteriores a la 1.35 instalada en AXL F BK SAS (discontinuado);
- versiones de firmware iguales o anteriores a la 1.31 instalada en AXL F BK ETH;
- versiones de firmware iguales o anteriores a la 1.31 instalada en AXL F BK ETH XC;
- versiones de firmware iguales o anteriores a la 1.30 instalada en AXL F BK EIP;
- versiones de firmware iguales o anteriores a la 1.30 instalada en AXL F BK EIP EF;
- versiones de firmware iguales o anteriores a la 1.30 instalada en AXL F BK EIP XC;
- versiones de firmware iguales o anteriores a la 1.13 instalada en IL PN BK-PAC;
- versiones de firmware iguales o anteriores a la 1.00 instalada en IL ETH BK-PAC;
- versiones de firmware iguales o anteriores a la 1.42 instalada en IL ETH BK DI8 DO4 2TX-PAC;
- versiones de firmware iguales o anteriores a la 1.12 instalada en IL EIP BK DI8 DO4 2TX-PAC.
CERT@VDE en coordinación con Phoenix Contact GmbH & Co. KG, han reportado una vulnerabilidad de severidad alta, cuya explotación podría permitir a un atacante provocar una sobrecarga del dispositivo.
Phoenix Contact ha solucionado la vulnerabilidad detectada en las siguientes versiones:
- versión de firmware 2.00 instalada en AXL F BK PN TPS (disponible Q4/2025);
- versión de firmware 2.00 instalada en AXL F BK PN TPS XC (disponible Q4/2025);
- versión de firmware 1.32 instalada en AXL F BK ETH;
- versión de firmware 1.32 instalada en AXL F BK ETH XC.
Un atacante remoto, no autenticado, puede causar una condición de denegación de servicio (DoS) enviando un gran número de peticiones al servicio http en el puerto 80. Un ataque con éxito provoca una sobrecarga del dispositivo y se activa el watchdog del hardware, requiriendo el acoplador de bus de un reinicio manual.
Se ha asignado el identificador CVE-2025-2813 para esta vulnerabilidad.
Múltiples vulnerabilidades en productos Schneider Electric
- Modicon Controllers M241 / M251, versiones anteriores a 5.3.12.48;
- Modicon Controllers M258 / LMC058;
- Wiser AvatarOn 6K Freelocate;
- Wiser Cuadro H 5P Socket;
- PrismaSeT Active - Wireless Panel Server;
- Galaxy VS;
- Galaxy VL;
- Galaxy VXL.
Los productos de Schneider Electric están afectados por 3 vulnerabilidades, 2 de ellas de severidad alta y una crítica. Su explotación podría permitir la lectura de archivos arbitrarios sin autorización, ejecución del código del atacante de forma persistente y ejecución no autorizada de código.
Para los siguientes productos, actualizar a la versión indicada:
- Modicon Controllers M241/M251, versión 5.3.12.48.
Los siguientes productos aún no disponen de un parche de seguridad. El proveedor está trabajando en poder ofrecerlo en breve, pero mientras tanto, se recomienda seguir las siguientes acciones para mitigar el problema:
- Modicon Controllers M258 / LMC058:
- Utilizar controladores y dispositivos únicamente en un entorno protegido para minimizar la exposición en la red y asegurarse de que no son accesibles desde Internet o desde redes que no sean de confianza.
- Utilizar las funciones de administración de usuario y contraseñas. Los permisos de usuario están habilitados por defecto y se exige crear una contraseña segura la primera vez.
- Deshabilitar el Webserver cuando se deje de usar.
- Emplear enlaces de comunicación codificados cuando estén disponibles.
- Configurar la segmentación de red e instalar un cortafuegos para bloquear todos los accesos no autorizados a puertos 80/HTTP y 443/HTTPS.
- Si necesita acceder en remoto, hágalo a través de túneles VPN.
- Consultar la guía para más acciones específicas “Cybersecurity Guidelines for EcoStruxure Machine Expert Modicon and PacDrive Controllers and Associated Equipment”.
- Galaxy VS, Galaxy VL y Galaxy VXS:
- Iniciar sesión en NMC4 a través de la interfaz web. Cuando haya accedido al sistema vaya a la página de configuración de la consola desde la barra de menú navegando por Configuration -> Network -> Console -> Access.
- Desde la pantalla de configuración, desmarque la casilla de verificación "habilitar SSH/SFTP/SCP" y haga clic en "Aplicar".
Los siguientes productos han alcanzado el final de su vida útil y el fabricante no tiene previsto sacar una actualización. En las referencias del aviso puede encontrar información adicional del fabricante con diversas propuestas de mitigación.
- Wiser AvatarOn 6K Freelocate;
- Wiser Cuadro H 5P Socket;
- PrismaSeT Active -Wireless Panel Server.
Las vulnerabilidades son:
- CVE-2025-2875, de severidad alta. Referencia controlada externamente a un recurso en otra esfera, podría provocar una pérdida de confidencialidad cuando un atacante, no autenticado, manipula la URL del servidor web del controlador para acceder a los recursos.
- CVE-2023-4041, de severidad crítica. Afecta a un componente de terceros, en concreto, Silicon Labs Gecko Bootloader que se emplea en los productos Wiser y PrismaSeT. La vulnerabilidad es de tipo desbordamiento del búfer y puede permitir la inyección de código.
- CVE-2025-32433, de severidad crítica. Afecta al componente de terceros Erlang/OTP que se emplea en los productos Galaxy. Esta vulnerabilidad impacta en el componente SSH y puede permitir la ejecución de código en remoto (RCE) de forma no autenticada, lo que puede derivar en la capacidad de monitorización del UPS y su potencial funcionamiento.