Cinco nuevos avisos de SCI
Índice
- Inyección de argumentos en ICM Viewer de IDIS
- Múltiples vulnerabilidades en Monitouch V-SFT-6 de Fuji Electric
- Falta de autenticación en License Plate Recognition (LPR) Camera de Survision
- Múltiples vulnerabilidades en VizAir de Radiometrics
- Desbordamiento de búfer en CNCSoft-G2 de Delta Electronics
Inyección de argumentos en ICM Viewer de IDIS
ICM Viewer, versión 1.6.0.10.
Vera Mens y Noam Moshe, de Claroty Team82, han informado de una vulnerabilidad de severidad alta que, en caso de ser explotada, podría permitir a un atacante ejecutar código arbitrario en el contexto de la máquina.
Actualizar a la versión 1.7.1. En caso de que no se realice la actualización a la versión indicada, el fabricante informa que el visor del producto dejará de funcionar. Para la actualización se recomidna acceder al enlace del fabricante https://icm.idisglobal.com.
El visor ICM no neutraliza correctamente los delimitadores de los argumentos en un comando, lo que puede permitir a un atacante ejecutar código arbitrario en el contexto de la máquina.
Se ha asignado el identificador CVE-2025-12556 a esta vulnerabilidad.
Múltiples vulnerabilidades en Monitouch V-SFT-6 de Fuji Electric
Fuji Electric Monitouch V-SFT-6, versión 6.2.7.0.
Rocco Calvi, de TecSecurity, ha informado sobre 2 vulnerabilidades de severidad alta de tipo desbordamiento del búfer que podrían permitir a un atacante ejecutar código en remoto que bloquee el dispositivo al que se accede.
Fuji Electric solucionó estas vulnerabilidades en su versión de octubre (V-SFT V6.2.8.0) y recomiendan a los usuarios actualizar a la versión V6.2.9.0 o posterior.
- CVE-2025-54496: un archivo de proyecto creado maliciosamente puede provocar un desbordamiento de búfer basado en el montículo, lo que puede permitir al atacante ejecutar código arbitrario.
- CVE-2025-54526: desbordamiento de búfer basado en pila al procesar un archivo de proyecto especialmente diseñado. Esto podría permitir a un atacante ejecutar código arbitrario.
Falta de autenticación en License Plate Recognition (LPR) Camera de Survision
License Plate Recognition LPR Camera: todas las versiones.
Souvik Kandar, de Microsec, ha informado sobre 1 vulnerabilidad de severidad crítica que, en caso de ser explotada podría permitir a un atacante acceder completamente al sistema sin necesidad de una autenticación previa.
Actualizar el software License Plate Recognition LPR Camera: firmware versión v3.5.
Como medida de mitigación, se aconseja:
- Habilitar la autenticación por medio de la contraseña de configuración, estableciendo roles y usuarios con derechos mínimos en el sistema.
- Usar la autenticación a través del certificado de cliente.
- Activar la contraseña de "bloqueo" en los parámetros de seguridad.
CVE-2025-12108: no se requiere protección mediante una contraseña por defecto, lo cual posibilita el acceso inmediato al asistente de configuración sin tener que iniciar sesión o requerir de una verificación de credenciales.
Múltiples vulnerabilidades en VizAir de Radiometrics
VizAir, versiones anteriores a 08/2025
Souvik Kandar ha informado de 3 vulnerabilidades de severidad crítica que de ser explotadas podrían permitir a los atacantes manipular parámetros meteorológicos críticos y la configuración de las pistas, engañar al control de tráfico aéreo y a los pilotos, extraer datos meteorológicos sensibles y causar una interrupción significativa de las operaciones aeroportuarias, lo que daría lugar a condiciones de vuelo peligrosas.
Radiometrics ha actualizado todos los sistemas afectados y solucionado las vulnerabilidades. No es necesario que el usuario realice ninguna acción adicional.
- CVE-2025-61945: el sistema Radiometrics VizAir es vulnerable a ataques remotos mediante el acceso no autorizado al panel de administración. Este acceso no autorizado podría desactivar alertas vitales, generar condiciones peligrosas para las aeronaves y manipular la asignación de pistas, lo que podría provocar colisiones en vuelo o incursiones en pista.
- CVE-2025-54863: la clave API REST del sistema está expuesta a través de un archivo de configuración de acceso público. Esto permite a los atacantes alterar remotamente los datos y configuraciones meteorológicas, automatizar ataques contra múltiples instancias y extraer datos meteorológicos confidenciales, lo que podría comprometer las operaciones aeroportuarias. El control remoto no autorizado del monitoreo meteorológico aeronáutico y la manipulación de datos podrían resultar en una planificación de vuelo incorrecta y condiciones de despegue y aterrizaje peligrosas.
- CVE-2025-61956: falta de mecanismos de autenticación para funciones críticas, como el acceso de administrador y las solicitudes a la API. Los atacantes pueden modificar las configuraciones sin estar autenticados, con lo que podrían manipular la configuración de las pistas activas y engañar al control de tráfico aéreo (ATC) y a los pilotos, provocando una planificación de vuelo inexacta.
Desbordamiento de búfer en CNCSoft-G2 de Delta Electronics
CNCSoft-G2: versión 2.1.0.27 y anteriores.
Natnael Samson ha informado sobre 1 vulnerabilidad de severidad alta que afecta al producto CNCSoft-G2 de Delta Electronics. En el caso de ser explotada puede causar la ejecución de código arbitrario por parte de terceros.
Actualizar a la versión CNCSoft-G2 2.1.0.34 o posteriores.
CVE-2025-58317: falta de verificación de los archivos proporcionados por el usuario y causada por desbordamiento de búfer basado en pila que, en el caso de que un usuario abra un fichero malicioso, el atacante podría explotar esta vulnerabilidad para ejecutar código en el marco del proceso actual. Esta vulnerabilidad no es explotable de forma remota.