Un nuevo aviso de SCI y una actualización
Índice
- Múltiples vulnerabilidades en Eaton UPS Companion software de Eaton
- [Actualización 26/12/2025] Omisión de autenticación en productos de Mitsubishi Electric
Múltiples vulnerabilidades en Eaton UPS Companion software de Eaton
Eaton UPS Companion software, todas las versiones hasta la 3.0 (excluida).
Kazuma Matsumoto junto con Eaton UPS Companion han reportado 3 vulnerabilidades, 2 de severidad alta y 1 media que, en caso de ser explotadas, podrían permitir a un atacante con acceso al software ejecutar código arbitrario.
Eaton ha solucionado las vulnerabilidad en la versión 3.0. Se recomienda actualizar el firmware a esta última versión.
CVE-2025-67450: carga insegura en las bibliotecas del ejecutable del software Eaton UPS Companion (EUC) podría permitir a un atacante con acceso al paquete de software ejecutar código arbitrario.
CVE-2025-59887: carga insegura en las bibliotecas en el instalador del software Eaton IPP podría permitir a un atacante con acceso al paquete de software ejecutar código arbitrario.
La vulnerabilidad de severidad media se le ha asignado el siguiente código CVE-2025-59888.
[Actualización 26/12/2025] Omisión de autenticación en productos de Mitsubishi Electric
[Actualización 26/12/2025]
Todas las versiones de los productos listados a continuación.
- G-50;
- G-50-W;
- G-50A;
- GB-50;
- GB-50A;
- GB-24A;
- G-150AD;
- AG-150A-A;
- AG-150A-J;
- GB-50AD;
- GB-50ADA-A;
- GB-50ADA-J;
- EB-50GU-A;
- EB-50GU-J;
- AE-200J;
- AE-200A;
- AE-200E;
- AE-50J;
- AE-50A;
- AE-50E;
- EW-50J;
- EW-50A;
- EW-50E;
- TE-200A;
- TE-50A;
- TW-50A;
- CMS-RMD-J.
Mihály Csonka ha reportado una vulnerabilidad de severidad crítica, cuya explotación podría permitir a un atacante eludir la autenticación y luego controlar los sistemas ilegalmente o revelar información en ellos. Además, el atacante también podría potencialmente manipular el firmware de los productos afectados utilizando la información revelada.
No hay planes para lanzar una versión corregida, por lo que Mitsubishi Electric recomienda aplicar una serie de medidas de mitigación, las cuales pueden encontrarse en el aviso de las referencias. Mitsubishi Electric está preparando actualmente versiones mejoradas para varios de los productos afectados con el objetivo de mitigar esta vulnerabilidad.
[Actualización 26/12/2025]
Para minimizar el riesgo de que esta vulnerabilidad sea explotada, asegúrese de que el sistema de aire acondicionado está configurado correctamente, de la siguiente forma:
- Restrinja el acceso al sistema de aire acondicionado desde redes que no sean de confianza.
- Restrinja el acceso físico al sistema de aire acondicionado y los dispositivos y medios que se empleen para acceder a él.
- Tenga los equipos desde los que accede al sistema de aire acondicionado debidamente actualizados, configurados y con sistemas de protección contra el malware que funcionen correctamente.
- Para las versiones del producto que dispongan de la opción "Configuración de acceso restringido" (a continuación se muestra el listado), actívelo para evitar el acceso desde redes no confiables. Puede consultar el libro de instrucciones, primeros pasos apartado “6-3-3 Access restriction settings" para saber cómo configurarlo.
- AE-200J, versión 8.03 o posterior;
- AE-200A, versión 8.03 o posterior;
- AE-200E, versión 8.03 o posterior;
- AE-50J, versión 8.03 o posterior;
- AE-50A, versión 8.03 o posterior;
- AE-50E, versión 8.03 o posterior;
- EW-50J, versión 8.03 o posterior;
- EW-50A, versión 8.03 o posterior;
- EW-50E, versión 8.03 o posterior;
- TE-200A, versión 8.03 o posterior;
- TE-50A, versión 8.03 o posterior;
- TW-50A, versión 8.03 o posterior.
En el enlace de Mitsubishi de las referencias se explica cómo consultar la versión del producto.
Existe una vulnerabilidad de omisión de autenticación en los sistemas de aire acondicionado de Mitsubishi Electric. Un atacante puede saltarse la autenticación y luego controlar los sistemas de aire acondicionado ilegalmente, o revelar información en ellos explotando esta vulnerabilidad. Además, el atacante puede manipular el firmware de los productos afectados utilizando la información revelada.
Se ha asignado el identificador CVE-2025-3699 para esta vulnerabilidad.