Seis nuevos avisos de SCI
Índice
- Múltiples vulnerabilidades en SiPass integrated de Siemens
- Múltiples vulnerabilidades en Asset Suite de Hitachi Energy
- Divulgación de información y denegación de servicio (DoS) en productos Mitsubishi Electric
- Lectura fuera de límites en Sante DICOM Viewer Pro de Santesoft
- Falta de autenticación en función crítica en Micromate de Instantel
- Múltiples vulnerabilidades en CS5000 Fire Panel de Consilium Safety
Múltiples vulnerabilidades en SiPass integrated de Siemens
- Las siguientes versiones de SiPass integrated están afectadas por CVE-2022-31807:
- Siemens SiPass integrated AC5102 (ACC-G2): todas las versiones;
- Siemens SiPass integrated ACC-AP: todas las versiones.
- Las siguientes versiones de SiPass integrated están afectadas por CVE-2022-31812:
- SiPass integrated: versiones anteriores a V2.95.3.18.
Siemens ha reportado 2 vulnerabilidades de severidad alta, cuya explotación podrían permitir a un atacante cargar un firmware modificado maliciosamente en el dispositivo o causar una condición de denegación de servicio (DoS).
Siemens ha lanzado la versión V2.95.3.18 de SiPass integrated para dar solución a la vulnerabilidad con identificador CVE-2022-31812.
Para la vulnerabilidad CVE-2022-31807, Siemens recomienda seguir las medidas de mitigación recogidas en el aviso enlazado en las referencias.
- Los dispositivos afectados no comprueban correctamente la integridad de las actualizaciones de firmware. Esto podría permitir a un atacante local cargar un firmware modificado maliciosamente en el dispositivo. En un segundo escenario, un atacante remoto capaz de interceptar la transferencia de un firmware válido desde el servidor al dispositivo, podría modificar el mismo en ese momento. Se ha asignado el identificador CVE-2022-31807 para esta vulnerabilidad.
- Las aplicaciones de servidor afectadas contienen una lectura fuera de límites más allá del final de un búfer asignado mientras comprueban la integridad de los paquetes entrantes. Esto podría permitir a un atacante remoto, no autenticado, crear una situación de denegación de servicio (DoS). Se ha asignado el identificador CVE-2022-31812 para esta vulnerabilidad.
Múltiples vulnerabilidades en Asset Suite de Hitachi Energy
- Asset Suite, versión 9.6.4.4;
- Asset Suite, versión 9.7;
- Asset Suite AnyWhere for Inventory (AWI) Android mobile app versiones 11.5 (awi_11.5_armv7) y anteriores.
Hitachi Energy ha informado de 6 vulnerabilidades, 1 crítica, 4 altas y 1 media que, de ser explotadas, podrían afectar a la confidencialidad, integridad y/o disponibilidad del producto.
Para Asset Suite versión 9.6.4.4, actualizar a la versión Asset Suite versión 9.6.4.5.
Para el resto de productos no hay disponible un parche que resuelva el problema, por lo que se recomienda extremar las medidas de seguridad física y lógica de la red donde se encuentra el producto, para mitigar lo máximo posible que las vulnerabilidades puedan ser explotadas.
Las vulnerabilidades de severidad crítica y alta son:
- CVE-2025-2500, de severidad crítica. Los servicios Web SOAP tienen una vulnerabilidad que, si se logra explotar, podrían permitir a un atacante obtener acceso no autorizado al producto y ampliar la duración de la ventana de oportunidad de un posible ataque con contraseña.
- CVE-2019-9262, de severidad alta. El componente MPEG4Extractor del extractor de medios tiene una vulnerabilidad que, si se logra explotar, podría permitir a un atacante realizar una escritura fuera de límites, que podría provocar la ejecución remota de código malicioso.
- CVE-2019-9429, de severidad alta. El componente profman es vulnerable a un corrupción de memoria. Si se logra explotar, un atacante podría provocar una escritura fuera de límites, lo que podría conducir a una escalada de privilegios
- CVE-2019-9256, de severidad alta. El componente libmediaextractor tiene una vulnerabilidad que, si se logra explotar, permite a un atacante provocar una escritura fuera de límites debido a un desbordamiento de enteros. Lo que podría derivar en un ejecución remota de código (RCE).
- CVE-2019-9290, de severidad alta. El componente tzdata tiene una vulnerabilidad debido a un desajuste entre las funciones de asignación y desasignación. Si se logra explotar podría permitir a un atacante provocar una corrupción de memoria y, potencialmente, lograr una escalada local de privilegios.
La vulnerabilidad de severidad media tiene asignado el identificador CVE-2025-1484 y su detalle se puede consultar en las referencias.
Divulgación de información y denegación de servicio (DoS) en productos Mitsubishi Electric
Todas las versiones de firmware de los siguientes productos de la serie MELSEC iQ-F están afectados:
- FX5U-xMy/z x=32,64,80, y=T,R, z=ES,DS,ESS,DSS.
- FX5UC-xMy/z x=32,64,96, y=T, z=D,DSS.
- FX5UC-32MT/DS-TS, FX5UC-32MT/DSS-TS, FX5UC-32MR/DS-TS.
- FX5UJ-xMy/z x=24,40,60, y=T,R, z=ES,DS,ESS,DSS.
- FX5UJ-xMy/ES-A*1 x=24,40,60, y=T,R.
- FX5S-xMy/z x=30,40,60,80*1, y=T,R, z= ES,DS,ESS,DSS.
Mitsubishi Electric ha publicado una vulnerabilidad de severidad crítica, cuya explotación podría permitir a un atacante leer información en el producto, causar una condición de denegación de servicio (DoS) o detener el funcionamiento del módulo CPU.
Mitsubishi Electric indica que no hay planes para lanzar una versión correctora, por lo que recomienda aplicar las mitigaciones incluidas en la sección 'Mitigations / Workarounds' de su aviso, enlazado en las referencias.
Vulnerabilidad de divulgación de información y denegación de servicio (DoS) en el módulo CPU de la serie iQ-F de MELSEC.
Esta vulnerabilidad permite a un atacante remoto leer información en el producto, causar una condición de denegación de servicio (DoS) en la conexión MELSOFT (comunicación con productos Mitsubishi Electric FA como GX Works3 y GOT) o detener el funcionamiento del módulo CPU (provocando una condición de DoS en el módulo CPU) mediante el envío de paquetes especialmente diseñados.
Se ha asignado el identificador CVE-2025-3755 para esta vulnerabilidad.
Lectura fuera de límites en Sante DICOM Viewer Pro de Santesoft
- Sante DICOM Viewer Pro, versión 14.2.1 y anteriores.
Michael Heinzl ha descubierto esta vulnerabilidad de severidad alta que, en caso de ser explotada, podría permitir a un atacante revelar información o ejecutar código de su elección.
Actualizar el producto a la versión 14.2.2 o posterior.
Vulnerabilidad de corrupción de memoria. Si un atacante local explota esta vulnerabilidad puede revelar información y ejecutar código arbitrario en el sistema afectado.
Se ha asignado el identificador CVE-2025-5307 para esta vulnerabilidad.
Falta de autenticación en función crítica en Micromate de Instantel
Micromate, todas las versiones.
Souvik Kandar de MicroSec (microsec.io) ha descubierto esta vulnerabilidad de severidad crítica que, en caso de ser explotada, podría permitir a un atacante, no autenticado, acceder al puerto de configuración del dispositivo y ejecutar comandos.
El fabricante está trabajando de forma activa en una actualización del firmware que soluciones este problema. Hasta que la solución esté disponible, como medida de mitigación, se recomienda a los usuarios que creen y dispongan de una lista de direcciones IP válidas para acceder al modem. De esta forma se previene el acceso no autorizado.
Para más información se puede contactar con el soporte técnico de Instantel.
Micromate no realiza la autenticación en un puerto de configuración, lo que podría permitir a un atacante que se conecte y ejecutar comandos.
Se ha asignado el identificador CVE-2025-1907 para esta vulnerabilidad.
Múltiples vulnerabilidades en CS5000 Fire Panel de Consilium Safety
CS5000 Fire Panel, todas las versiones.
Andrew Tierney de Pen Test Partners ha descubierto estas dos vulnerabilidades de severidad crítica que, en caso de ser explotadas, podrían permitir a un atacante obtener acceso de alto nivel al dispositivo y gestionarlo de forma remota de forma que, incluso, lo pueda dejar inoperativo.
No hay un parche disponible que resuelva el problema,
Para aquellos usuarios que busquen mayor seguridad se les recomienda que adquieran productos más recientes. De la gama de productos de Consilium, aquellos fabricados después del 1 de julio de 2024 están realizados siguiendo el principio de seguridad-por-diseño.
A los usuario de CS500 Fire Panel, se les recomienda que implementen contramedidas para compensar este problema, como medidas de seguridad física y restricciones de control de acceso solo a personal autorizado.
Se puede encontrar más información de seguridad del producto en la página web de soporte de Consilium Safety.
Las vulnerabilidades son:
- CVE-2025-41438, inicialización de un recurso de forma insegura. El producto tiene una cuenta por defecto en el panel. Aunque es posible cambiarla mediante SSH en el dispositivo, se ha mantenido sin cambios en todos los sistemas instalados observados. Esta cuenta no es root, pero tiene permisos de alto nivel que podrían afectar gravemente al funcionamiento del dispositivo si se explota.
- CVE-2025-46352, uso de credenciales en el código. El producto tiene una contraseña en su código, que se ejecuta en un servidor VNC y es visible como una cadena en el binario encargado de ejecutar VNC. Esta contraseña no se puede modificar, lo que permite a cualquiera que la conozca obtener acceso remoto al panel. Dicho acceso podría permitir a un atacante enviar instrucciones al panel de forma remota, poniéndolo potencialmente en un estado no funcional y provocando graves problemas de seguridad.