Importancia 4 - Alta
Recursos Afectados
- ASCO 5310 Single-Channel Remote Annunciator, todas las versiones;
- ASCO 5350 Eight Channel Remote Annunciator, todas las versiones;
- EcoStruxure™ Process Expert, versiones 2020R2, 2021 y 2023 (anterior a v4.8.0.5715);
- EcoStruxure™ Process Expert for AVEVA System Platform, versiones 2020R2, 2021 y 2023;
- Enerlin’X IFE interface (LV434001), todas las versiones;
- Enerlin’X eIFE (LV851001), todas las versiones.
Descripción
Los productos de Schneider Electric están afectados por 8 vulnerabilidades, 7 de ellas de severidad alta y una media. Su explotación podría permitir una denegación de servicio en el producto afectado o de los servicios de red que se ejecutan en este, detener la comunicación y revelar de datos, entre otros.
Solución
Para las vulnerabilidades que afectan al producto EcoStruxure™ Process Expert, versiones 2020R2, 2021 y 2023 (anterior a v4.8.0.5715), Schneider Electric recomienza actualizar a la versión v4.8.0.5715, después de haber desinstalado la versión v4.8.0.5115.
Para las vulnerabilidades que afectan a los productos Enerlin’X, Schneider Electric ha resuelto este problema en la versión 004.010.000.
En cuanto a las vulnerabilidades que afectan a ASCO, Schneider Electric está estableciendo un plan de corrección para todas las versiones futuras que podrá incluir una solución para estas vulnerabilidades. Hasta entonces, Schneider Electric recomienda a los usuarios que apliquen inmediatamente las medidas de mitigación para reducir el riesgo de explotación incluidas en las referencias del aviso.
Detalle
Las vulnerabilidades de severidad alta son:
- Descarga de código sin verificación de integridad que podría dejar el dispositivo quede inoperable si se descarga un firmware malicioso (CVE-2025-1058).
- Asignación de recursos sin límites que podría detener las comunicaciones cuando se envían paquetes maliciosos al servidor web del dispositivo (CVE-2025-1059).
- Transmisión de información sensible en texto claro que podría exponer datos cuando el tráfico de la red está siendo interceptado por un atacante (CVE-2025-1060).
- Carga sin restricciones de archivos de tipo peligroso que podría dejar el dispositivo inoperable cuando se descarga un archivo malicioso (CVE-2025-1070).
- Gestión inadecuada de privilegios en dos servicios (uno que gestiona datos de registro de auditoría y otro que actúa como servidor que gestiona las solicitudes de los clientes) que podría causar una pérdida de confidencialidad, integridad y disponibilidad de la estación de trabajo de ingeniería cuando un atacante con privilegios estándar modifica la ruta de ejecución de los servicios de Windows. Para ser explotada, los servicios necesitan ser reiniciados (CVE-2025-0327).
- Validación de entrada inadecuada que podría provocar una denegación de servicio del producto cuando se envían paquetes PIV6 maliciosos al dispositivo (CVE-2025-0816 y CVE-2025-0815).
La vulnerabilidad de severidad media tiene el identificador CVE-2025-0814.
Referencias:
- https://download.schneider-electric.com/files?p_Doc_Ref=sevd-2025-042-01&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2025-042-01.pdf
- https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2025-042-03&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2025-042-03.pdf
- https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2025-042-04&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2025-042-04.pdf
- Múltiples vulnerabilidades en productos Schneider Electric | INCIBE-CERT | INCIBE