Contexto
Além de nossas Notificações de Vulnerabilidades (NDVs) referentes a produtos e serviços relacionados à Tecnologia da Informação, trazemos, com a Notificação de Vulnerabilidade Mensal OT-ICS, informações sobre vulnerabilidades direcionadas a ambientes de OT (Tecnologia Operacional) e ICS (Sistemas de Controle Industrial).
Setores de infraestrutura crítica, que impactam serviços fundamentais da sociedade, contam com ambientes de OT cada vez mais conectados a redes de TI. Nos últimos anos, temos observado um aumento crescente em ataques explorando estas tecnologias ou se aproveitando da intersecção entre componentes físicos e softwares para abalar diretamente o bom funcionamento de serviços essenciais, colocando vidas e economias em risco.
Para cada vulnerabilidade listada neste documento, especificamos as versões e sistemas afetados e indicamos uma remediação de contorno e uma solução, para que nossos clientes possam atuar de forma imediata caso utilizem o produto ou tecnologia vulnerável. Lembramos que a remediação de contorno — se houver — é uma medida de caráter contingencial, que não soluciona o problema por completo. Reforçamos, sempre, a necessidade de atualização do serviço ou produto afetado, o mais rápido possível.
A SEK se coloca à disposição para ajudar seus clientes a corrigirem as vulnerabilidades listadas neste documento. Reforçamos, ainda, a importância da manutenção de um serviço periódico de gestão de vulnerabilidades e implementação de patches, tendo em vista o cenário crescente de aumento de superfície de ataque e de atores de ameaça em todo o mundo.
Sumário
Clique nos cards para navegar até a vulnerabilidade específica
Siemens Energy Services com Elspec G5DFR
Rockwell Automation FactoryTalk Historian ThingWorx
Hitachi Energy Relion 670, 650 e SAM600-IO
Instantel Micromate
Consilium Safety CS5000 Fire Panel
Kaleris Navis N4 Terminal Operating System
Dover Fueling Solutions ProGauge MagLink LX
Siemens SIMATIC S7-1500 CPU Family
Mitsubishi Electric MELSEC iQ-F Series
Fuji Electric Smart Editor
THINK AHEAD, ACT NOW.
Siemens Energy Services com Elspec G5DFR
Descrição
Uma falha crítica foi identificada nas soluções Siemens Energy Services que utilizam o componente Elspec G5 Digital Fault Recorder (G5DFR). O dispositivo é fornecido com credenciais padrão de administrador que permanecem inalteradas a menos que modificadas manualmente. Essa configuração permite que um atacante remoto, sem necessidade de autenticação, acesse o sistema e manipule as saídas do dispositivo, comprometendo a integridade e a disponibilidade das operações. A exploração não requer interação do usuário e pode ser realizada via rede, representando um risco significativo para infraestruturas críticas.
Sistemas afetados
As seguintes versões do produto são atingidas:
- Siemens Energy Services com Elspec G5DFR (todas as versões)
Remediações de contorno
A Siemens recomenda alterar imediatamente os nomes de usuário, senhas e níveis de permissão padrão por meio da interface web do G5DFR. Além disso, é aconselhável implementar medidas de segurança adicionais, como segmentação de rede, uso de firewalls e VPNs, e seguir as diretrizes operacionais fornecidas pela Siemens para ambientes de TI protegidos.
Solução
Não há patches de segurança disponíveis no momento. A mitigação deve ser realizada conforme as orientações fornecidas pela Siemens.
Fontes primárias e secundárias
Rockwell Automation FactoryTalk Historian ThingWorx
Descrição
Uma vulnerabilidade crítica foi identificada no componente Apache log4net utilizado pelo FactoryTalk Historian ThingWorx. Versões anteriores à 2.0.10 do log4net não desabilitam entidades externas XML durante o processamento de arquivos de configuração. Isso permite que invasores explorem arquivos maliciosos para realizar ataques de XML External Entity (XXE), o que pode resultar na exposição de informações confidenciais, execução de código remoto ou interrupção de serviços, especialmente em aplicações industriais.
Sistemas afetados
As seguintes versões do produto são atingidas:
- 95057C-FTHTWXCT11: Versões v4.02.00 e anteriores
Remediações de contorno
O fabricante não divulgou remediações de contorno para esta vulnerabilidade.
Solução
A Rockwell Automation lançou a versão 5.00.00 do FactoryTalk Historian ThingWorx, que corrige a vulnerabilidade. É recomendada a atualização imediata para esta ou versões superiores.
Fontes primárias e secundárias
Hitachi Energy Relion 670, 650 e SAM600-IO
Descrição
Uma vulnerabilidade crítica, decorrente de falha no mecanismo de alocação de memória do sistema operacional Wind River VxWorks 7, afeta dispositivos da linha Relion da Hitachi Energy. Um integer overflow pode ocorrer ao calcular o tamanho do bloco de memória a ser alocado pela função calloc(), o que resulta em alocação insuficiente de memória. Essa falha possibilita a corrupção de memória, podendo levar à execução de código malicioso ou à interrupção do funcionamento do dispositivo.
Sistemas afetados
As seguintes versões do produto são atingidas:
- Relion 670/650/SAM600-IO series versão 2.2.5 até 2.2.5.1
- Relion 670/650 series versão 2.2.4 até 2.2.4.2
- Relion 670 series versão 2.2.3 até 2.2.3.4
- Relion 670 series versão 2.2.2 até 2.2.2.4
- Relion 670/650/SAM600-IO series versão 2.2.1 até 2.2.1.7
- Relion 670/650 series versão 2.2.0 e anteriores (todas as revisões)
- Relion 670 series versões 2.1, 2.0, 1.2 e 1.1 (todas as revisões)
- Relion 650 series versões 1.3, 1.2, 1.1 e 1.0 (todas as revisões)
Remediações de contorno
A Hitachi Energy recomenda aplicar práticas robustas de segurança de rede, como isolamento físico de dispositivos críticos, uso de firewalls com configuração restritiva, desativação de serviços desnecessários e bloqueio de portas não utilizadas. Também é indicada a análise de mídias removíveis e o reforço da conscientização dos usuários para prevenir vetores comuns de ataque, como phishing e uso indevido da internet em estações críticas.
Solução
Atualizar para as seguintes versões ou superiores: 2.2.5.2, 2.2.4.3, 2.2.3.5, 2.2.2.5, 2.2.1.8. Para versões anteriores, aplicar as recomendações de mitigação descritas pela Hitachi Energy.
Fontes primárias e secundárias
Instantel Micromate
Descrição
Uma falha crítica foi identificada no dispositivo Instantel Micromate, utilizado para monitoramento de vibração e ruído em ambientes industriais. O equipamento apresenta ausência de autenticação na porta de configuração, permitindo que um invasor remoto, sem necessidade de credenciais, acesse e execute comandos diretamente no dispositivo. Essa vulnerabilidade pode comprometer a integridade dos dados coletados, interromper operações críticas e possibilitar movimentos laterais na rede, afetando outros sistemas conectados.
Sistemas afetados
As seguintes versões do produto são atingidas:
- Instantel Micromate: todas as versões
Remediações de contorno
Enquanto uma atualização de firmware não é disponibilizada, recomenda-se: restringir o acesso à porta de configuração apenas a endereços IP autorizados; isolar o dispositivo de redes públicas ou não confiáveis; implementar firewalls e segmentação de rede; utilizar VPNs atualizadas para acessos remotos; e monitorar continuamente o tráfego de rede em busca de atividades suspeitas.
Solução
A Instantel está desenvolvendo uma atualização de firmware para corrigir a vulnerabilidade. Usuários devem entrar em contato com o suporte técnico da empresa para obter informações sobre a disponibilidade do patch e orientações adicionais.
Fontes primárias e secundárias
Consilium Safety CS5000 Fire Panel
Descrição
Duas falhas críticas foram identificadas no CS5000 Fire Panel da Consilium Safety. A primeira envolve a presença de uma conta padrão com privilégios elevados que permanece inalterada na maioria das instalações, permitindo que um atacante obtenha acesso não autorizado ao sistema. A segunda refere-se a uma senha codificada embutida no binário do servidor VNC do dispositivo, que não pode ser modificada. Ambas as vulnerabilidades possibilitam o controle remoto do painel, podendo resultar na desativação de sistemas críticos de segurança contra incêndios.
Sistemas afetados
As seguintes versões do produto são atingidas:
- Consilium Safety CS5000 Fire Panel: todas as versões
Remediações de contorno
A Consilium Safety recomenda implementar medidas compensatórias, como: restringir o acesso físico ao dispositivo; isolar o painel de redes públicas; utilizar firewalls e VPNs atualizadas para acessos remotos; e monitorar continuamente o tráfego de rede em busca de atividades suspeitas. Além disso, é aconselhável limitar o acesso administrativo a pessoal autorizado e revisar regularmente as configurações de segurança do sistema.
Solução
Não há patches de segurança disponíveis no momento. A Consilium Safety recomenda a atualização para modelos mais recentes de painéis de incêndio fabricados após 1º de julho de 2024, que incorporam princípios de segurança mais robustos.
Fontes primárias e secundárias
Dover Fueling Solutions ProGauge MagLink LX
Descrição
Uma interface não documentada do Target Communication Framework (TCF), exposta em uma porta específica, permite que atacantes remotos executem operações críticas sem autenticação. Essa falha possibilita a criação, modificação ou exclusão de arquivos no sistema, podendo resultar em execução remota de código, comprometimento completo do dispositivo e manipulação das operações de abastecimento.
Sistemas afetados
As seguintes versões do produto são atingidas:
- ProGauge MagLink LX 4: versões anteriores à 4.20.3
- ProGauge MagLink LX Plus: versões anteriores à 4.20.3
- ProGauge MagLink LX Ultimate: versões anteriores à 5.20.3
Remediações de contorno
A Dover Fueling Solutions recomenda a segmentação de rede para isolar os consoles atrás de firewalls e bloquear o acesso à internet. Além disso, é aconselhável utilizar VPNs atualizadas com políticas de segurança rígidas para acesso remoto e monitorar proativamente os dispositivos, reportando anomalias à CISA para correlação de incidentes.
Solução
A Dover Fueling Solutions lançou atualizações que corrigem a vulnerabilidade. Os usuários devem atualizar o ProGauge MagLink LX 4 e LX Plus para a versão 4.20.3 ou superior, e o LX Ultimate para a versão 5.20.3 ou superior, disponíveis no portal oficial da empresa.
Fontes primárias e secundárias
Siemens SIMATIC S7-1500 CPU Family
Descrição
A vulnerabilidade decorre da ausência de criptografia de dados sensíveis na funcionalidade de gerenciamento de chaves SSH integrada ao firmware de dispositivos SIMATIC S7-1500. Chaves armazenadas em smartcards podem ser adicionadas ao ssh-agent sem as restrições de destino esperadas, o que permite o uso indevido dessas credenciais por atacantes remotos não autenticados. Essa falha pode comprometer a confidencialidade, integridade e disponibilidade dos sistemas industriais afetados.
Sistemas afetados
As seguintes versões do produto são atingidas:
- SIMATIC S7-1500 CPU 1518-4 PN/DP MFP (6ES7518-4AX00-1AB0): V3.1.5 e anteriores
- SIMATIC S7-1500 CPU 1518-4 PN/DP MFP (6ES7518-4AX00-1AC0): V3.1.5 e anteriores
- SIMATIC S7-1500 CPU 1518F-4 PN/DP MFP (6ES7518-4FX00-1AB0): V3.1.5 e anteriores
- SIMATIC S7-1500 CPU 1518F-4 PN/DP MFP (6ES7518-4FX00-1AC0): V3.1.5 e anteriores
- SIPLUS S7-1500 CPU 1518-4 PN/DP MFP (6AG1518-4AX00-4AC0): V3.1.5 e anteriores
Remediações de contorno
A Siemens recomenda proteger o acesso de rede aos dispositivos afetados com mecanismos apropriados, operar os sistemas em ambientes de TI protegidos e configurar os dispositivos segundo as diretrizes operacionais da Siemens para segurança industrial. Além disso, é indicado o uso de firewalls, isolamento de redes de controle, e uso de VPNs atualizadas para acesso remoto.
Solução
No momento, a Siemens ainda está desenvolvendo versões corrigidas do firmware. Recomenda-se acompanhar os canais oficiais da empresa para atualizações futuras.
Fontes primárias e secundárias
Mitsubishi Electric MELSEC iQ-F Series
Descrição
Uma falha na validação de índices, posições ou deslocamentos fornecidos em entradas permite que um invasor remoto não autenticado envie packets maliciosos para os módulos de CPU da série MELSEC iQ-F. Isso pode resultar na leitura não autorizada de informações internas e interrupção da comunicação com softwares como GX Works3 ou GOT. A falha pode ainda causar uma condição de negação de serviço (DoS), levando à paralisação do módulo, que exige reinicialização manual para retomada do funcionamento.
Sistemas afetados
As seguintes versões do produto são atingidas:
- FX5U-xMy/z (x=32, 64, 80; y=T, R; z=ES, DS, ESS, DSS): todas as versões
- FX5UC-xMy/z (x=32, 64, 96; y=T; z=D, DSS): todas as versões
- FX5UC-32MT/DS-TS, FX5UC-32MT/DSS-TS, FX5UC-32MR/DS-TS: todas as versões
- FX5UJ-xMy/z (x=24, 40, 60; y=T, R; z=ES, DS, ESS, DSS): todas as versões
- FX5UJ-xMy/ES-A (x=24, 40, 60; y=T, R): todas as versões
- FX5S-xMy/z (x=30, 40, 60, 80; y=T, R; z=ES, DS, ESS, DSS): todas as versões
Remediações de contorno
O fabricante recomenda medidas de mitigação, como o uso de firewalls ou redes privadas virtuais (VPNs) ao acessar dispositivos pela internet, operação em redes locais confiáveis, bloqueio de acessos não autorizados por meio de firewalls, utilização do filtro de IP para permitir apenas hosts confiáveis e restrição de acesso físico aos produtos e redes associadas.
Solução
Até o momento, não há patch disponível. Recomenda-se aplicar as medidas de mitigação fornecidas pelo fabricante e acompanhar os canais oficiais da Mitsubishi Electric para futuras atualizações.
Fontes primárias e secundárias
Fuji Electric Smart Editor
Descrição
Três vulnerabilidades distintas foram identificadas no Fuji Electric Smart Editor até a versão 1.0.1.0. A CVE-2025-32412 explora uma leitura fora dos limites (out-of-bounds read), que pode ser utilizada para executar código arbitrário em memória. A CVE-2025-41413 trata de uma escrita fora dos limites (out-of-bounds write), comprometendo a integridade da aplicação e permitindo execução de código não autorizado. Já a CVE-2025-41388 refere-se a um estouro de buffer baseado em pilha (stack-based buffer overflow), que também pode resultar na execução de código malicioso. Todas as falhas exigem interação do usuário e podem ser exploradas localmente, mesmo sem privilégios elevados.
Sistemas afetados
As seguintes versões do produto são atingidas:
- Smart Editor: versões 1.0.1.0 e anteriores
Remediações de contorno
O fabricante não divulgou remediações de contorno para estas vulnerabilidades.
Solução
A Fuji Electric recomenda a atualização para a versão 1.0.2.0 ou posterior do Smart Editor, disponível no site oficial da empresa.
Fontes primárias e secundárias
Context
In addition to our Vulnerability Notifications (NDVs) regarding products and services related to Information Technology, we bring, with the Monthly OT-ICS Vulnerability Notification, information about vulnerabilities directed to OT (Operational Technology) and ICS (Industrial Control Systems) environments.
Critical infrastructure sectors, which impact fundamental society services, rely on OT environments increasingly connected to IT networks. In recent years, we have observed a growing increase in attacks exploiting these technologies or taking advantage of the intersection between physical components and software to directly undermine the proper functioning of essential services, putting lives and economies at risk.
For each vulnerability listed in this document, we specify the affected versions and systems and indicate a workaround and a solution, so that our clients can act immediately if they use the vulnerable product or technology. We remind you that the workaround — if any — is a contingency measure, which does not completely solve the problem. We always emphasize the need for updating the affected service or product as quickly as possible.
SEK is available to help its clients correct the vulnerabilities listed in this document. We also reinforce the importance of maintaining a periodic vulnerability management and patch implementation service, given the growing scenario of increased attack surface and threat actors worldwide.
Summary
Click on the cards to navigate to the specific vulnerability
Siemens Energy Services with Elspec G5DFR
Rockwell Automation FactoryTalk Historian ThingWorx
Hitachi Energy Relion 670, 650 and SAM600-IO
Instantel Micromate
Consilium Safety CS5000 Fire Panel
Kaleris Navis N4 Terminal Operating System
Dover Fueling Solutions ProGauge MagLink LX
Siemens SIMATIC S7-1500 CPU Family
Mitsubishi Electric MELSEC iQ-F Series
Fuji Electric Smart Editor
THINK AHEAD, ACT NOW.
Siemens Energy Services with Elspec G5DFR
Description
A critical flaw has been identified in Siemens Energy Services solutions that use the Elspec G5 Digital Fault Recorder (G5DFR) component. The device is supplied with default administrator credentials that remain unchanged unless manually modified. This configuration allows a remote attacker, without requiring authentication, to access the system and manipulate device outputs, compromising the integrity and availability of operations. The exploitation does not require user interaction and can be performed over the network, representing a significant risk to critical infrastructures.
Affected Systems
The following product versions are affected:
- Siemens Energy Services with Elspec G5DFR (all versions)
Workarounds
Siemens recommends immediately changing the default usernames, passwords, and permission levels through the G5DFR web interface. Additionally, it is advisable to implement additional security measures, such as network segmentation, use of firewalls and VPNs, and following the operational guidelines provided by Siemens for protected IT environments.
Solution
No security patches are available at the moment. Mitigation should be performed according to the guidance provided by Siemens.
Primary and Secondary Sources
Rockwell Automation FactoryTalk Historian ThingWorx
Description
A critical vulnerability has been identified in the Apache log4net component used by FactoryTalk Historian ThingWorx. Versions prior to 2.0.10 of log4net do not disable external XML entities during configuration file processing. This allows attackers to exploit malicious files to perform XML External Entity (XXE) attacks, which can result in exposure of confidential information, remote code execution, or service interruption, especially in industrial applications.
Affected Systems
The following product versions are affected:
- 95057C-FTHTWXCT11: Versions v4.02.00 and earlier
Workarounds
The manufacturer has not disclosed workarounds for this vulnerability.
Solution
Rockwell Automation has released version 5.00.00 of FactoryTalk Historian ThingWorx, which fixes the vulnerability. Immediate update to this or later versions is recommended.
Primary and Secondary Sources
Hitachi Energy Relion 670, 650 and SAM600-IO
Description
A critical vulnerability, resulting from a failure in the memory allocation mechanism of the Wind River VxWorks 7 operating system, affects Hitachi Energy Relion line devices. An integer overflow can occur when calculating the size of the memory block to be allocated by the calloc() function, resulting in insufficient memory allocation. This flaw enables memory corruption, potentially leading to malicious code execution or device operation interruption.
Affected Systems
The following product versions are affected:
- Relion 670/650/SAM600-IO series version 2.2.5 to 2.2.5.1
- Relion 670/650 series version 2.2.4 to 2.2.4.2
- Relion 670 series version 2.2.3 to 2.2.3.4
- Relion 670 series version 2.2.2 to 2.2.2.4
- Relion 670/650/SAM600-IO series version 2.2.1 to 2.2.1.7
- Relion 670/650 series version 2.2.0 and earlier (all revisions)
- Relion 670 series versions 2.1, 2.0, 1.2 and 1.1 (all revisions)
- Relion 650 series versions 1.3, 1.2, 1.1 and 1.0 (all revisions)
Workarounds
Hitachi Energy recommends applying robust network security practices, such as physical isolation of critical devices, use of firewalls with restrictive configuration, deactivation of unnecessary services and blocking of unused ports. Analysis of removable media and reinforcement of user awareness to prevent common attack vectors, such as phishing and improper internet use on critical stations, are also indicated.
Solution
Update to the following versions or higher: 2.2.5.2, 2.2.4.3, 2.2.3.5, 2.2.2.5, 2.2.1.8. For earlier versions, apply the mitigation recommendations described by Hitachi Energy.
Primary and Secondary Sources
Instantel Micromate
Description
A critical flaw has been identified in the Instantel Micromate device, used for vibration and noise monitoring in industrial environments. The equipment presents absence of authentication on the configuration port, allowing a remote attacker, without requiring credentials, to access and execute commands directly on the device. This vulnerability can compromise the integrity of collected data, interrupt critical operations and enable lateral movements in the network, affecting other connected systems.
Affected Systems
The following product versions are affected:
- Instantel Micromate: all versions
Workarounds
While a firmware update is not available, it is recommended to: restrict access to the configuration port only to authorized IP addresses; isolate the device from public or untrusted networks; implement firewalls and network segmentation; use updated VPNs for remote access; and continuously monitor network traffic for suspicious activities.
Solution
Instantel is developing a firmware update to fix the vulnerability. Users should contact the company's technical support for information about patch availability and additional guidance.
Primary and Secondary Sources
Consilium Safety CS5000 Fire Panel
Description
Two critical flaws have been identified in the Consilium Safety CS5000 Fire Panel. The first involves the presence of a default account with elevated privileges that remains unchanged in most installations, allowing an attacker to gain unauthorized access to the system. The second refers to a hard-coded password embedded in the device's VNC server binary, which cannot be modified. Both vulnerabilities enable remote control of the panel, potentially resulting in the deactivation of critical fire safety systems.
Affected Systems
The following product versions are affected:
- Consilium Safety CS5000 Fire Panel: all versions
Workarounds
Consilium Safety recommends implementing compensatory measures, such as: restricting physical access to the device; isolating the panel from public networks; using updated firewalls and VPNs for remote access; and continuously monitoring network traffic for suspicious activities. Additionally, it is advisable to limit administrative access to authorized personnel and regularly review system security configurations.
Solution
No security patches are available at the moment. Consilium Safety recommends updating to newer models of fire panels manufactured after July 1, 2024, which incorporate more robust security principles.
Primary and Secondary Sources
Dover Fueling Solutions ProGauge MagLink LX
Description
An undocumented interface of the Target Communication Framework (TCF), exposed on a specific port, allows remote attackers to execute critical operations without authentication. This flaw enables the creation, modification or deletion of files in the system, potentially resulting in remote code execution, complete device compromise and manipulation of fueling operations.
Affected Systems
The following product versions are affected:
- ProGauge MagLink LX 4: versions prior to 4.20.3
- ProGauge MagLink LX Plus: versions prior to 4.20.3
- ProGauge MagLink LX Ultimate: versions prior to 5.20.3
Workarounds
Dover Fueling Solutions recommends network segmentation to isolate consoles behind firewalls and block internet access. Additionally, it is advisable to use updated VPNs with strict security policies for remote access and proactively monitor devices, reporting anomalies to CISA for incident correlation.
Solution
Dover Fueling Solutions has released updates that fix the vulnerability. Users should update ProGauge MagLink LX 4 and LX Plus to version 4.20.3 or higher, and LX Ultimate to version 5.20.3 or higher, available on the company's official portal.
Primary and Secondary Sources
Siemens SIMATIC S7-1500 CPU Family
Description
The vulnerability stems from the absence of sensitive data encryption in the SSH key management functionality integrated into SIMATIC S7-1500 device firmware. Keys stored on smartcards can be added to the ssh-agent without expected destination restrictions, allowing unauthorized use of these credentials by unauthenticated remote attackers. This flaw can compromise the confidentiality, integrity, and availability of affected industrial systems.
Affected Systems
The following product versions are affected:
- SIMATIC S7-1500 CPU 1518-4 PN/DP MFP (6ES7518-4AX00-1AB0): V3.1.5 and earlier
- SIMATIC S7-1500 CPU 1518-4 PN/DP MFP (6ES7518-4AX00-1AC0): V3.1.5 and earlier
- SIMATIC S7-1500 CPU 1518F-4 PN/DP MFP (6ES7518-4FX00-1AB0): V3.1.5 and earlier
- SIMATIC S7-1500 CPU 1518F-4 PN/DP MFP (6ES7518-4FX00-1AC0): V3.1.5 and earlier
- SIPLUS S7-1500 CPU 1518-4 PN/DP MFP (6AG1518-4AX00-4AC0): V3.1.5 and earlier
Workarounds
Siemens recommends protecting network access to affected devices with appropriate mechanisms, operating systems in protected IT environments and configuring devices according to Siemens operational guidelines for industrial security. Additionally, the use of firewalls, control network isolation, and use of updated VPNs for remote access are indicated.
Solution
Currently, Siemens is still developing corrected firmware versions. It is recommended to follow the company's official channels for future updates.
Primary and Secondary Sources
Mitsubishi Electric MELSEC iQ-F Series
Description
A flaw in the validation of indices, positions or offsets provided in inputs allows an unauthenticated remote attacker to send malicious packets to CPU modules of the MELSEC iQ-F series. This can result in unauthorized reading of internal information and interruption of communication with software such as GX Works3 or GOT. The flaw can also cause a denial of service (DoS) condition, leading to module paralysis, which requires manual restart for operation resumption.
Affected Systems
The following product versions are affected:
- FX5U-xMy/z (x=32, 64, 80; y=T, R; z=ES, DS, ESS, DSS): all versions
- FX5UC-xMy/z (x=32, 64, 96; y=T; z=D, DSS): all versions
- FX5UC-32MT/DS-TS, FX5UC-32MT/DSS-TS, FX5UC-32MR/DS-TS: all versions
- FX5UJ-xMy/z (x=24, 40, 60; y=T, R; z=ES, DS, ESS, DSS): all versions
- FX5UJ-xMy/ES-A (x=24, 40, 60; y=T, R): all versions
- FX5S-xMy/z (x=30, 40, 60, 80; y=T, R; z=ES, DS, ESS, DSS): all versions
Workarounds
The manufacturer recommends mitigation measures, such as using firewalls or virtual private networks (VPNs) when accessing devices via the internet, operating on trusted local networks, blocking unauthorized access through firewalls, using IP filters to allow only trusted hosts and restricting physical access to products and associated networks.
Solution
Currently, no patch is available. It is recommended to apply the mitigation measures provided by the manufacturer and follow Mitsubishi Electric's official channels for future updates.
Primary and Secondary Sources
Fuji Electric Smart Editor
Description
Three distinct vulnerabilities have been identified in Fuji Electric Smart Editor up to version 1.0.1.0. CVE-2025-32412 exploits an out-of-bounds read, which can be used to execute arbitrary code in memory. CVE-2025-41413 deals with an out-of-bounds write, compromising application integrity and allowing unauthorized code execution. CVE-2025-41388 refers to a stack-based buffer overflow, which can also result in malicious code execution. All flaws require user interaction and can be exploited locally, even without elevated privileges.
Affected Systems
The following product versions are affected:
- Smart Editor: versions 1.0.1.0 and earlier
Workarounds
The manufacturer has not disclosed workarounds for these vulnerabilities.
Solution
Fuji Electric recommends updating to version 1.0.2.0 or later of Smart Editor, available on the company's official website.
Primary and Secondary Sources
Contexto
Además de nuestras Notificaciones de Vulnerabilidades (NDVs) referentes a productos y servicios relacionados con Tecnología de la Información, traemos, con la Notificación de Vulnerabilidad Mensual OT-ICS, información sobre vulnerabilidades dirigidas a ambientes de OT (Tecnología Operacional) e ICS (Sistemas de Control Industrial).
Sectores de infraestructura crítica, que impactan servicios fundamentales de la sociedad, cuentan con ambientes de OT cada vez más conectados a redes de TI. En los últimos años, hemos observado un aumento creciente en ataques explotando estas tecnologías o aprovechándose de la intersección entre componentes físicos y software para socavar directamente el buen funcionamiento de servicios esenciales, poniendo vidas y economías en riesgo.
Para cada vulnerabilidad listada en este documento, especificamos las versiones y sistemas afectados e indicamos una remediación de contorno y una solución, para que nuestros clientes puedan actuar de forma inmediata si utilizan el producto o tecnología vulnerable. Recordamos que la remediación de contorno — si la hay — es una medida de carácter contingencial, que no soluciona el problema por completo. Reforzamos, siempre, la necesidad de actualización del servicio o producto afectado, lo más rápido posible.
SEK se pone a disposición para ayudar a sus clientes a corregir las vulnerabilidades listadas en este documento. Reforzamos, además, la importancia del mantenimiento de un servicio periódico de gestión de vulnerabilidades e implementación de parches, teniendo en cuenta el escenario creciente de aumento de superficie de ataque y de actores de amenaza en todo el mundo.
Resumen
Haga clic en las tarjetas para navegar a la vulnerabilidad específica
Siemens Energy Services con Elspec G5DFR
Rockwell Automation FactoryTalk Historian ThingWorx
Hitachi Energy Relion 670, 650 y SAM600-IO
Instantel Micromate
Consilium Safety CS5000 Fire Panel
Kaleris Navis N4 Terminal Operating System
Dover Fueling Solutions ProGauge MagLink LX
Siemens SIMATIC S7-1500 CPU Family
Mitsubishi Electric MELSEC iQ-F Series
Fuji Electric Smart Editor
THINK AHEAD, ACT NOW.
Siemens Energy Services con Elspec G5DFR
Descripción
Se ha identificado una falla crítica en las soluciones Siemens Energy Services que utilizan el componente Elspec G5 Digital Fault Recorder (G5DFR). El dispositivo se suministra con credenciales de administrador por defecto que permanecen sin cambios a menos que se modifiquen manualmente. Esta configuración permite que un atacante remoto, sin necesidad de autenticación, acceda al sistema y manipule las salidas del dispositivo, comprometiendo la integridad y disponibilidad de las operaciones. La explotación no requiere interacción del usuario y puede realizarse a través de la red, representando un riesgo significativo para infraestructuras críticas.
Sistemas afectados
Las siguientes versiones del producto están afectadas:
- Siemens Energy Services con Elspec G5DFR (todas las versiones)
Remediaciones de contorno
Siemens recomienda cambiar inmediatamente los nombres de usuario, contraseñas y niveles de permisos por defecto a través de la interfaz web del G5DFR. Además, es aconsejable implementar medidas de seguridad adicionales, como segmentación de red, uso de firewalls y VPNs, y seguir las directrices operacionales proporcionadas por Siemens para ambientes de TI protegidos.
Solución
No hay parches de seguridad disponibles en este momento. La mitigación debe realizarse conforme a las orientaciones proporcionadas por Siemens.
Fuentes primarias y secundarias
Rockwell Automation FactoryTalk Historian ThingWorx
Descripción
Se ha identificado una vulnerabilidad crítica en el componente Apache log4net utilizado por FactoryTalk Historian ThingWorx. Las versiones anteriores a 2.0.10 de log4net no deshabilitan las entidades XML externas durante el procesamiento de archivos de configuración. Esto permite que los invasores exploten archivos maliciosos para realizar ataques de XML External Entity (XXE), lo que puede resultar en la exposición de información confidencial, ejecución de código remoto o interrupción de servicios, especialmente en aplicaciones industriales.
Sistemas afectados
Las siguientes versiones del producto están afectadas:
- 95057C-FTHTWXCT11: Versiones v4.02.00 y anteriores
Remediaciones de contorno
El fabricante no ha divulgado remediaciones de contorno para esta vulnerabilidad.
Solución
Rockwell Automation ha lanzado la versión 5.00.00 de FactoryTalk Historian ThingWorx, que corrige la vulnerabilidad. Se recomienda la actualización inmediata a esta o versiones superiores.
Fuentes primarias y secundarias
Hitachi Energy Relion 670, 650 y SAM600-IO
Descripción
Una vulnerabilidad crítica, derivada de una falla en el mecanismo de asignación de memoria del sistema operativo Wind River VxWorks 7, afecta a dispositivos de la línea Relion de Hitachi Energy. Puede ocurrir un integer overflow al calcular el tamaño del bloque de memoria a ser asignado por la función calloc(), lo que resulta en asignación insuficiente de memoria. Esta falla posibilita la corrupción de memoria, pudiendo llevar a la ejecución de código malicioso o a la interrupción del funcionamiento del dispositivo.
Sistemas afectados
Las siguientes versiones del producto están afectadas:
- Relion 670/650/SAM600-IO series versión 2.2.5 hasta 2.2.5.1
- Relion 670/650 series versión 2.2.4 hasta 2.2.4.2
- Relion 670 series versión 2.2.3 hasta 2.2.3.4
- Relion 670 series versión 2.2.2 hasta 2.2.2.4
- Relion 670/650/SAM600-IO series versión 2.2.1 hasta 2.2.1.7
- Relion 670/650 series versión 2.2.0 y anteriores (todas las revisiones)
- Relion 670 series versiones 2.1, 2.0, 1.2 y 1.1 (todas las revisiones)
- Relion 650 series versiones 1.3, 1.2, 1.1 y 1.0 (todas las revisiones)
Remediaciones de contorno
Hitachi Energy recomienda aplicar prácticas robustas de seguridad de red, como aislamiento físico de dispositivos críticos, uso de firewalls con configuración restrictiva, desactivación de servicios innecesarios y bloqueo de puertos no utilizados. También se indica el análisis de medios removibles y el refuerzo de la concientización de los usuarios para prevenir vectores comunes de ataque, como phishing y uso indebido de internet en estaciones críticas.
Solución
Actualizar a las siguientes versiones o superiores: 2.2.5.2, 2.2.4.3, 2.2.3.5, 2.2.2.5, 2.2.1.8. Para versiones anteriores, aplicar las recomendaciones de mitigación descritas por Hitachi Energy.
Fuentes primarias y secundarias
Instantel Micromate
Descripción
Se ha identificado una falla crítica en el dispositivo Instantel Micromate, utilizado para monitoreo de vibración y ruido en ambientes industriales. El equipo presenta ausencia de autenticación en el puerto de configuración, permitiendo que un invasor remoto, sin necesidad de credenciales, acceda y ejecute comandos directamente en el dispositivo. Esta vulnerabilidad puede comprometer la integridad de los datos recolectados, interrumpir operaciones críticas y posibilitar movimientos laterales en la red, afectando otros sistemas conectados.
Sistemas afectados
Las siguientes versiones del producto están afectadas:
- Instantel Micromate: todas las versiones
Remediaciones de contorno
Mientras no esté disponible una actualización de firmware, se recomienda: restringir el acceso al puerto de configuración solo a direcciones IP autorizadas; aislar el dispositivo de redes públicas o no confiables; implementar firewalls y segmentación de red; utilizar VPNs actualizadas para accesos remotos; y monitorear continuamente el tráfico de red en busca de actividades sospechosas.
Solución
Instantel está desarrollando una actualización de firmware para corregir la vulnerabilidad. Los usuarios deben contactar al soporte técnico de la empresa para obtener información sobre la disponibilidad del parche y orientaciones adicionales.
Fuentes primarias y secundarias
Consilium Safety CS5000 Fire Panel
Descripción
Se han identificado dos fallas críticas en el CS5000 Fire Panel de Consilium Safety. La primera involucra la presencia de una cuenta por defecto con privilegios elevados que permanece sin cambios en la mayoría de las instalaciones, permitiendo que un atacante obtenga acceso no autorizado al sistema. La segunda se refiere a una contraseña codificada incrustada en el binario del servidor VNC del dispositivo, que no puede ser modificada. Ambas vulnerabilidades posibilitan el control remoto del panel, pudiendo resultar en la desactivación de sistemas críticos de seguridad contra incendios.
Sistemas afectados
Las siguientes versiones del producto están afectadas:
- Consilium Safety CS5000 Fire Panel: todas las versiones
Remediaciones de contorno
Consilium Safety recomienda implementar medidas compensatorias, como: restringir el acceso físico al dispositivo; aislar el panel de redes públicas; utilizar firewalls y VPNs actualizadas para accesos remotos; y monitorear continuamente el tráfico de red en busca de actividades sospechosas. Además, es aconsejable limitar el acceso administrativo a personal autorizado y revisar regularmente las configuraciones de seguridad del sistema.
Solución
No hay parches de seguridad disponibles en este momento. Consilium Safety recomienda la actualización a modelos más recientes de paneles de incendio fabricados después del 1 de julio de 2024, que incorporan principios de seguridad más robustos.
Fuentes primarias y secundarias
Dover Fueling Solutions ProGauge MagLink LX
Descripción
Una interfaz no documentada del Target Communication Framework (TCF), expuesta en un puerto específico, permite que atacantes remotos ejecuten operaciones críticas sin autenticación. Esta falla posibilita la creación, modificación o eliminación de archivos en el sistema, pudiendo resultar en ejecución remota de código, compromiso completo del dispositivo y manipulación de las operaciones de abastecimiento.
Sistemas afectados
Las siguientes versiones del producto están afectadas:
- ProGauge MagLink LX 4: versiones anteriores a 4.20.3
- ProGauge MagLink LX Plus: versiones anteriores a 4.20.3
- ProGauge MagLink LX Ultimate: versiones anteriores a 5.20.3
Remediaciones de contorno
Dover Fueling Solutions recomienda la segmentación de red para aislar las consolas detrás de firewalls y bloquear el acceso a internet. Además, es aconsejable utilizar VPNs actualizadas con políticas de seguridad rígidas para acceso remoto y monitorear proactivamente los dispositivos, reportando anomalías a CISA para correlación de incidentes.
Solución
Dover Fueling Solutions ha lanzado actualizaciones que corrigen la vulnerabilidad. Los usuarios deben actualizar el ProGauge MagLink LX 4 y LX Plus a la versión 4.20.3 o superior, y el LX Ultimate a la versión 5.20.3 o superior, disponibles en el portal oficial de la empresa.
Fuentes primarias y secundarias
Siemens SIMATIC S7-1500 CPU Family
Descripción
La vulnerabilidad deriva de la ausencia de cifrado de datos sensibles en la funcionalidad de gestión de claves SSH integrada al firmware de dispositivos SIMATIC S7-1500. Las claves almacenadas en smartcards pueden ser añadidas al ssh-agent sin las restricciones de destino esperadas, lo que permite el uso indebido de estas credenciales por atacantes remotos no autenticados. Esta falla puede comprometer la confidencialidad, integridad y disponibilidad de los sistemas industriales afectados.
Sistemas afectados
Las siguientes versiones del producto están afectadas:
- SIMATIC S7-1500 CPU 1518-4 PN/DP MFP (6ES7518-4AX00-1AB0): V3.1.5 y anteriores
- SIMATIC S7-1500 CPU 1518-4 PN/DP MFP (6ES7518-4AX00-1AC0): V3.1.5 y anteriores
- SIMATIC S7-1500 CPU 1518F-4 PN/DP MFP (6ES7518-4FX00-1AB0): V3.1.5 y anteriores
- SIMATIC S7-1500 CPU 1518F-4 PN/DP MFP (6ES7518-4FX00-1AC0): V3.1.5 y anteriores
- SIPLUS S7-1500 CPU 1518-4 PN/DP MFP (6AG1518-4AX00-4AC0): V3.1.5 y anteriores
Remediaciones de contorno
Siemens recomienda proteger el acceso de red a los dispositivos afectados con mecanismos apropiados, operar los sistemas en ambientes de TI protegidos y configurar los dispositivos según las directrices operacionales de Siemens para seguridad industrial. Además, se indica el uso de firewalls, aislamiento de redes de control, y uso de VPNs actualizadas para acceso remoto.
Solución
En este momento, Siemens aún está desarrollando versiones corregidas del firmware. Se recomienda seguir los canales oficiales de la empresa para futuras actualizaciones.
Fuentes primarias y secundarias
Mitsubishi Electric MELSEC iQ-F Series
Descripción
Una falla en la validación de índices, posiciones o desplazamientos proporcionados en entradas permite que un invasor remoto no autenticado envíe paquetes maliciosos a los módulos de CPU de la serie MELSEC iQ-F. Esto puede resultar en la lectura no autorizada de información interna e interrupción de la comunicación con software como GX Works3 o GOT. La falla puede también causar una condición de negación de servicio (DoS), llevando a la paralización del módulo, que requiere reinicio manual para la reanudación del funcionamiento.
Sistemas afectados
Las siguientes versiones del producto están afectadas:
- FX5U-xMy/z (x=32, 64, 80; y=T, R; z=ES, DS, ESS, DSS): todas las versiones
- FX5UC-xMy/z (x=32, 64, 96; y=T; z=D, DSS): todas las versiones
- FX5UC-32MT/DS-TS, FX5UC-32MT/DSS-TS, FX5UC-32MR/DS-TS: todas las versiones
- FX5UJ-xMy/z (x=24, 40, 60; y=T, R; z=ES, DS, ESS, DSS): todas las versiones
- FX5UJ-xMy/ES-A (x=24, 40, 60; y=T, R): todas las versiones
- FX5S-xMy/z (x=30, 40, 60, 80; y=T, R; z=ES, DS, ESS, DSS): todas las versiones
Remediaciones de contorno
El fabricante recomienda medidas de mitigación, como el uso de firewalls o redes privadas virtuales (VPNs) al acceder a dispositivos por internet, operación en redes locales confiables, bloqueo de accesos no autorizados por medio de firewalls, utilización del filtro de IP para permitir solo hosts confiables y restricción de acceso físico a los productos y redes asociadas.
Solución
Hasta el momento, no hay parche disponible. Se recomienda aplicar las medidas de mitigación proporcionadas por el fabricante y seguir los canales oficiales de Mitsubishi Electric para futuras actualizaciones.
Fuentes primarias y secundarias
Fuji Electric Smart Editor
Descripción
Tres vulnerabilidades distintas han sido identificadas en Fuji Electric Smart Editor hasta la versión 1.0.1.0. La CVE-2025-32412 explota una lectura fuera de los límites (out-of-bounds read), que puede ser utilizada para ejecutar código arbitrario en memoria. La CVE-2025-41413 trata de una escritura fuera de los límites (out-of-bounds write), comprometiendo la integridad de la aplicación y permitiendo ejecución de código no autorizado. La CVE-2025-41388 se refiere a un desbordamiento de buffer basado en pila (stack-based buffer overflow), que también puede resultar en la ejecución de código malicioso. Todas las fallas requieren interacción del usuario y pueden ser explotadas localmente, incluso sin privilegios elevados.
Sistemas afectados
Las siguientes versiones del producto están afectadas:
- Smart Editor: versiones 1.0.1.0 y anteriores
Remediaciones de contorno
El fabricante no ha divulgado remediaciones de contorno para estas vulnerabilidades.
Solución
Fuji Electric recomienda la actualización a la versión 1.0.2.0 o posterior del Smart Editor, disponible en el sitio web oficial de la empresa.