Tres nuevos avisos de SCI
Índice
- Múltiples vulnerabilidades en COMBIVIS Control Runtime de KEB Automation
- Uso de clave criptográfica codificada en ADVMS de Johnson Controls
- Múltiples vulnerabilidades en Netco Design de Satel
Múltiples vulnerabilidades en COMBIVIS Control Runtime de KEB Automation
KEB Automation COMBIVIS Control Runtime, versiones ARM64 2.0.0 y posteriores, pero anteriores a 2.1.0.
KEB Automation, en coordinación con CERT@VDE, ha publicado 4 vulnerabilidades: 3 de severidad alta y una de severidad media que, en caso de ser explotadas, podrían permitir acceder o modificar certificados y claves criptográficas, provocar una denegación de servicio (DoS) o impedir el uso de comunicaciones cifradas.
Actualizar COMBIVIS Control Runtime a la versión 2.1.0 o posterior.
La actualización puede instalarse mediante la interfaz web App Manager o a través del portal NOA Cloud de KEB Automation.
- CVE-2025-41659: vulnerabilidad de asignación incorrecta de permisos en un recurso crítico. Un atacante remoto con privilegios reducidos podría acceder a la carpeta que almacena los certificados y claves del sistema, lo que permitiría consultar, modificar o eliminar esta información. La eliminación de los certificados también podría impedir el uso de comunicaciones cifradas.
- CVE-2025-41738: vulnerabilidad de confusión de tipos en el servidor de visualización. Un atacante remoto no autenticado podría enviar comunicaciones especialmente manipuladas y provocar una denegación de servicio (DoS).
- CVE-2025-41691: vulnerabilidad de desreferencia de puntero nulo. Un atacante remoto no autenticado podría enviar comunicaciones especialmente manipuladas y provocar una denegación de servicio (DoS).
Uso de clave criptográfica codificada en ADVMS de Johnson Controls
Johnson Controls American Dynamics Video Management System (ADVMS), versiones anteriores a 3.10.
Johnson Controls ha publicado una vulnerabilidad de severidad alta que, en caso de ser explotada, podría permitir a un atacante con acceso local y privilegios reducidos obtener información confidencial almacenada en un archivo ejecutable.
Actualizar American Dynamics Video Management System (ADVMS) a la versión 3.10 o posterior.
CVE-2026-34499: vulnerabilidad debida al uso de una clave criptográfica codificada directamente en Johnson Controls ADVMS. Un atacante con acceso local y privilegios reducidos podría analizar un archivo ejecutable y obtener información confidencial utilizada por la aplicación.
Múltiples vulnerabilidades en Netco Design de Satel
Satel Netco Design, versiones anteriores a 2.1.7.
Alex Williams, de Pellera Technologies, ha informado sobre 4 vulnerabilidades: 3 de severidad alta y una de severidad media que, en caso de ser explotadas, podrían permitir ejecutar código en el navegador de otro usuario, acceder a archivos situados fuera de los directorios previstos o provocar una denegación de servicio (DoS).
Actualizar Satel Netco Design a la versión 2.1.7 o posterior.
- CVE-2026-105269: vulnerabilidad Cross-Site Scripting (XSS) almacenado. Un usuario autenticado con permisos de operador de red podría guardar contenido malicioso que se ejecutaría posteriormente en el navegador de otro usuario cuando este accediese a la información afectada.
- CVE-2026-101024: vulnerabilidad de Path Traversal relativo en la función de exportación de datos. Un atacante autenticado podría manipular las rutas utilizadas durante la exportación para acceder a ubicaciones situadas fuera del directorio previsto.
- CVE-2026-104628: vulnerabilidad de complejidad ineficiente de expresiones regulares. Un usuario autenticado con permisos de visualización podría realizar búsquedas especialmente manipuladas para consumir recursos de procesamiento y degradar la disponibilidad del producto.