Instituto Nacional de ciberseguridad. Sección Incibe

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Cuatro nuevos avisos de SCI

Índice

  • Verificación incorrecta en Interniche IP-Stack de Siemens
  • Múltiples vulnerabilidades en productos de Axis Communications
  • Múltiples vulnerabilidades en WebAccess/SCADA de Advantech
  • Múltiples vulnerabilidades en LabView de National Instruments

Verificación incorrecta en Interniche IP-Stack de Siemens

Fecha19/12/2025
Importancia4 - Alta
Recursos Afectados
  • SIDOOR
  • SIMATIC
  • SIMOCODE
  • SIPLUS
  • SIWAREX

Ver versiones afectadas de Siemens Interniche IP-Stack en el aviso oficial enlazado en las referencias.

Descripción

Vulnerabilidad en la pila Interniche IP-Stack de varios productos industriales que permite a un atacante remoto no autenticado interferir en conexiones TCP y provocar una denegación de servicio.

Solución

Se recomienda actualizar los productos afectados a las versiones corregidas indicadas por el proveedor (V1.3, V10.2, V2.0.0, V4.4.0, V6.0.0 y V8.3 o posteriores, según corresponda).

Detalle

CVE-2025-40820: los productos afectados no aplican correctamente la validación del número de secuencia TCP en escenarios específicos, sino que aceptan valores dentro de un amplio rango. Esto podría permitir a un atacante remoto no autenticado, por ejemplo, interferir en el establecimiento de la conexión, lo que podría provocar una denegación de servicio. El ataque solo tiene éxito si el atacante puede inyectar paquetes IP con direcciones falsificadas en momentos precisos, y solo afecta a los servicios basados en TCP.

Múltiples vulnerabilidades en productos de Axis Communications

Fecha19/12/2025
Importancia5 - Crítica
Recursos Afectados

Las siguientes versiones de Axis Communications Camera Station Pro, Camera Station y Device Manager se ven afectadas:

  • AXIS Camera Station Pro versiones anteriores a 6.9.
  • AXIS Camera Station versiones anteriores a 5.58.
  • AXIS Device Manager versiones anteriores a 5.32.
Descripción

Noam Moshe of Claroty Team82 ha reportado 4 vulnerabilidades; 1 crítica y 3 de severidad media. En caso de ser explotadas exitosamente, estas vulnerabilidades permitirían a un atacante ejecutar código arbitrario, realizar ataques de tipo intermediario y evitar la autenticación.

Solución

Actualizar los productos a sus últimas versiones:

  • AXIS Camera Station Pro 6.9 o posterior.
  • AXIS Camera Station 5.58 o posterior.
  • AXIS Device Manager 5.32 o posterior.
Detalle

CVE-2025-30023: vulnerabilidad presente en el protocolo de comunicación utilizado entre el cliente y el servidor que podría llevar a un usuario autenticado realizar un ataque de ejecución de código remoto.

Las vulnerabilidades medias se les ha asignado los siguientes códigos CVE: CVE-2025-30024, CVE-2025-30025 y CVE-2025-30026.

Múltiples vulnerabilidades en WebAccess/SCADA de Advantech

Fecha19/12/2025
Importancia4 - Alta
Recursos Afectados

WebAccess/SCADA versione 9.2.1.

Descripción

Alex Wiliams, de Pellera Technologies, ha informado sobre 5 vulnerabilidades: 2 de severidad alta y 3 medias que podrían permitir a un atacante autenticado leer o modificar una base de datos remota.

Solución

Advantech recomienda a los usuarios actualizar a la versión 9.2.2.

Detalle
  • CVE-2025-14850: el producto afectado es vulnerable a la navegación de directorios, lo que puede permitir a un atacante eliminar archivos arbitrarios.
  • CVE-2025-14849: el producto afectado es vulnerable a la carga de archivos sin restricciones, lo que puede permitir que un atacante ejecute código arbitrario de forma remota.

Para las vulnerabilidades de severidad media se han asignado los identificadores CVE-2025-14848, CVE-2025-46268 y CVE-2025-67653.

Múltiples vulnerabilidades en LabView de National Instruments

Fecha19/12/2025
Importancia4 - Alta
Recursos Afectados

Las siguientes versiones están afectadas:

  • LabVIEW versiones anteriores a 2025_Q3, incluida.
  • LabVIEW 2024.
  • LabVIEW 2023.
  • LabVIEW 2022.
  • LabVIEW  2021.
Descripción

Michael Heinzl ha informado sobre 9 vulnerabilidades de severidad alta que podrían permitir a un atacante divulgar información y ejecutar código arbitrario.

Solución

Actualizar a las siguientes versiones:

  • 2025 Q3 Patch 3 o posterior.
  • 2024 Q3 Patch 5 o posterior.
  • 2023 Q3 Patch 8 o posterior.
  • 2022 Q3 Patch 7 o posterior.
Detalle
  • CVE-2025-64461: escritura fuera de límites al abrir un VI dañado, lo que podría permitir a un atacante ejecutar código arbitrario. Para explotarla con éxito, el atacante debe obligar al usuario a abrir un archivo VI especialmente diseñado.
  • Lectura fuera de límites, en las funciones enumeradas a continuación, al abrir un VI dañado, lo que podría permitir a un atacante divulgar información o ejecutar código arbitrario. Para explotarla con éxito, el atacante debe obligar al usuario a abrir un archivo VI especialmente diseñado.
    • CVE-2025-64462: LVResFile::RGetMemFileHandle();
    • CVE-2025-64463: LVResource::DetachResource();
    • CVE-2025-64464: lvre!VisaWriteFromFile();
    • CVE-2025-64465: lvre!DataSizeTDR();
    • CVE-2025-64466: lvre!ExecPostedProcRecPost();
    • CVE-2025-64467: LVResFile::FindRsrcListEntry().
  • CVE-2025-64468:  uso posterior a la liberación al abrir un VI corrupto, lo que podría permitir a un atacante ejecutar código arbitrario. Para explotarla con éxito, el atacante debe obligar al usuario a abrir un archivo VI especialmente diseñado.
  • CVE-2025-64469: desbordamiento de búfer basada en pila al abrir un VI corrupto, lo que podría permitir a un atacante ejecutar código arbitrario. Para explotarla con éxito, el atacante debe obligar al usuario a abrir un archivo VI especialmente diseñado.