Cuatro nuevos avisos de SCI
Índice
- Ausencia de autenticación en AAS Edge Client de Murrelektronik
- Múltiples vulnerabilidades en EasyIO FG de Johnson Controls
- Desbordamiento de búfer en SMTP Client de Savannah
- Múltiples vulnerabilidades en productos de Hitachi Energy
Ausencia de autenticación en AAS Edge Client de Murrelektronik
Todas las versiones de Murrelektronik Software AAS Edge Client.
kta1kri ha informado sobre una vulnerabilidad de severidad crítica que, en caso de ser explotada, podría permitir a un atacante remoto no autenticado leer o modificar los datos de los submodelos Asset Administration Shell (AAS). La información manipulada se almacenaría localmente y se enviaría al servidor AAS central configurado.
Murrelektronik no publicará una actualización, ya que AAS Edge Client es una implementación de referencia que no estaba destinada a entornos de producción y ha dejado de mantenerse.
Se recomienda interrumpir su uso y eliminar las implementaciones existentes, así como cualquier copia del código fuente y de la imagen del contenedor.
CVE-2026-94293: vulnerabilidad de ausencia de autenticación en la API REST de AAS Edge Client. Un atacante remoto no autenticado podría utilizar solicitudes GET y PATCH para consultar o modificar los datos de los submodelos AAS. La información manipulada también podría enviarse al servidor AAS central y ser utilizada por otros sistemas.
Múltiples vulnerabilidades en EasyIO FG de Johnson Controls
Johnson Controls EasyIO FG, versiones de firmware 2.0b52 y anteriores.
Gabriele Gardois, Zachary Bushell y Lorenzo De Carli han informado sobre 2 vulnerabilidades de severidad alta que, en caso de ser explotadas, podrían permitir a un atacante obtener acceso no autorizado y comprometer por completo el dispositivo.
EasyIO FG ha alcanzado el fin de su vida útil y de soporte. Johnson Controls no publicará una actualización, debido a que el producto dejó de fabricarse y comercializarse antes de 2019 y su código fuente ya no está disponible.
Se recomienda migrar a un producto compatible de la generación actual, como EasyIO Neo R1 Series. Hasta completar la sustitución, se deberán aplicar las siguientes medidas:
- mantener los dispositivos en redes BAS/OT aisladas y sin acceso directo desde Internet;
- separarlos de las redes corporativas mediante VLAN y cortafuegos;
- permitir únicamente conexiones desde estaciones e IP de confianza;
- deshabilitar Telnet, los servicios innecesarios y los puertos que no se utilicen;
- supervisar los intentos repetidos de inicio de sesión y los accesos no autorizados;
- restringir el acceso físico y la distribución de imágenes de firmware.
- CVE-2026-27872: vulnerabilidad de gestión inadecuada de privilegios que podría facilitar ataques de fuerza bruta y permitir el acceso no autorizado al dispositivo.
- CVE-2026-27873: vulnerabilidad provocada por el uso de credenciales integradas en el producto. Su explotación mediante ataques de pulverización de contraseñas podría permitir comprometer completamente el dispositivo.
Desbordamiento de búfer en SMTP Client de Savannah
Savannah lwIP SMTP Client, versión 2.2.1.
xchglabs ha informado sobre una vulnerabilidad de severidad crítica que, en caso de ser explotada, podría permitir a un atacante remoto provocar un fallo en el dispositivo o ejecutar código.
Aplicar el parche patch_125_smtp_txbuf.diff, disponible en el commit 614420f82c8729d070e01464c0dddb3c9525c772.
Tras aplicar la corrección, se deberán recompilar y desplegar nuevamente el firmware o las aplicaciones que incorporen el componente afectado.
CVE-2026-15340: vulnerabilidad de desbordamiento de búfer provocada por no comprobar correctamente el tamaño de la información recibida por el cliente SMTP. Un servidor SMTP malicioso podría enviar una respuesta AUTH especialmente manipulada para sobrescribir el búfer de transmisión. Su explotación podría provocar el cierre inesperado del dispositivo o permitir la ejecución remota de código.
Múltiples vulnerabilidades en productos de Hitachi Energy
- Hitachi Energy Asset Suite, versiones 9.9.0 y anteriores;
- Hitachi Energy SOI, desde la versión 2.0.0 hasta la 2.2.0, incluidas;
- Hitachi Energy RTU500 Series CMU Firmware, versiones 11.x y anteriores, actualmente fuera de soporte.
EDF ha informado sobre 2 vulnerabilidades y Dragos sobre otras 6, mientras que Hitachi Energy ha publicado una vulnerabilidad adicional. En total se han identificado 9 vulnerabilidades: 4 de severidad crítica, 3 de severidad alta y 2 de severidad media que, en caso de ser explotadas, podrían permitir el acceso no autorizado, la ejecución de comandos, la modificación de archivos o firmware, la divulgación de información y la denegación de servicio.
Aplicar las siguientes actualizaciones o medidas:
- Asset Suite: actualizar a la versión 9.9.1 cuando esté disponible. Como mitigación temporal, deshabilitar HTTPPublishAdapterTestServlet y valorar la desactivación de PropertiesReloadServlet, CacheFlushServlet, MetadataCacheFlushServlet y ResourceBundleReloadServlet si no son necesarios.
- SOI: instalar el parche SOI EP2, que actualiza el intermediario de mensajería ActiveMQ utilizado por SOI Core a la versión 5.19.5.
- RTU500: migrar a la versión 12.7.8, 13.9.1 o una versión posterior compatible. Las versiones 11.x y anteriores han alcanzado el fin de su vida útil y no reciben actualizaciones de seguridad.
- CVE-2026-8065: vulnerabilidad de omisión de autenticación en el punto de acceso utilizado para actualizar el firmware de RTU500. Un atacante remoto no autenticado podría enviar una petición POST manipulada y cargar un firmware arbitrario, alterando el funcionamiento, la integridad o la disponibilidad del dispositivo.
- CVE-2026-8066: vulnerabilidad de path traversal en la función de carga de archivos de RTU500. Un atacante remoto no autenticado podría escribir o sobrescribir archivos en el sistema, modificar datos o interrumpir el funcionamiento del dispositivo.
- CVE-2010-2965: el servicio de depuración WDB de VxWorks, utilizado en algunas versiones antiguas de RTU500, permitiría a un atacante remoto leer o modificar posiciones de memoria, ejecutar funciones y gestionar tareas mediante comunicaciones dirigidas al puerto UDP 17185.
- CVE-2014-9195: ausencia de autenticación en determinados protocolos integrados en versiones antiguas de RTU500. Un atacante remoto podría enviar comunicaciones compatibles con el protocolo y ejecutar comandos sin disponer de credenciales.
- CVE-2026-7395: ausencia de autenticación en HTTPPublishAdapterTestServlet de Asset Suite. Un atacante no autenticado podría cargar archivos de configuración, acceder a información o modificar datos del sistema.
- CVE-2026-34197: vulnerabilidad de inyección de código en el componente ActiveMQ utilizado por SOI. Su explotación podría permitir la ejecución de código arbitrario con los privilegios del servicio afectado.
- CVE-2023-46143: ausencia de comprobaciones de integridad al descargar código. Un atacante remoto no autenticado podría modificar las aplicaciones cargadas en determinados controladores.
Para las vulnerabilidades de severidad media se han asignado los identificadores CVE-2026-11796 y CVE-2026-8067.