Articulos relacionado con aplicaciones y software a medida desarrollador por Q2BSTUDIO

CISA ha añadido una nueva vulnerabilidad a su Known Exploited Vulnerabilities Catalog, basada en evidencia de explotación activa.

Estos tipos de vulnerabilidades son frecuentes vectores de ataque para actores cibernéticos maliciosos y representan riesgos significativos para la empresa federal.

Directiva Operativa Vinculante (BOD) 22-01: Reducción del Riesgo Significativo de Vulnerabilidades Explotadas Conocidas estableció el Known Exploited Vulnerabilities Catalog como una lista viva de Vulnerabilidades Comunes y Exposiciones (CVEs) conocidas que conllevan un riesgo significativo para la empresa federal. BOD 22-01 requiere que las agencias de la rama ejecutiva civil federal remedien las vulnerabilidades identificadas para proteger las redes de la rama ejecutiva civil federal contra amenazas activas.

Aunque BOD 22-01 solo se aplica a las agencias de la rama ejecutiva civil federal, CISA insta enérgicamente a todas las organizaciones a reducir su exposición a ciberataques priorizando la remediatción oportuna de vulnerabilidades del Catálogo de vulnerabilidades como parte de su práctica de gestión de vulnerabilidades. CISA continuará añadiendo vulnerabilidades al catálogo que cumplan con los criterios especificados.

CISA ha añadido una nueva vulnerabilidad a su Known Exploited Vulnerabilities Catalog, basada en evidencia de explotación activa.

• CVE-2025-24813 Apache Tomcat Path Equivalence Vulnerability

Estos tipos de vulnerabilidades son vectores de ataque frecuentes para actores cibernéticos maliciosos y representan riesgos significativos para la empresa federal.

Binding Operational Directive (BOD) 22-01: Reducing the Significant Risk of Known Exploited Vulnerabilities estableció el Known Exploited Vulnerabilities Catalog como una lista actualizada de Vulnerabilidades Comunes y Exposiciones (CVEs) conocidas que representan un riesgo significativo para la empresa federal. BOD 22-01 requiere que las agencias del Poder Ejecutivo Civil Federal (FCEB) remedien las vulnerabilidades identificadas antes de la fecha límite para proteger las redes FCEB contra amenazas activas. Consulta la BOD 22-01 Fact Sheet para más información.

Aunque BOD 22-01 solo se aplica a las agencias FCEB, CISA insta enérgicamente a todas las organizaciones a reducir su exposición a ciberataques priorizando la remedición oportuna de Catalog vulnerabilities como parte de su práctica de gestión de vulnerabilidades. CISA continuará añadiendo vulnerabilidades al catálogo que cumplan con los specified criteria.

Para más detalles, visita el CSAF.

Q2BSTUDIO es una empresa de desarrollo y servicios tecnológicos. Ver CSAF

El CVSS v4 es de 9.2

ATENCIÓN: Explotable de forma remota/Complejidad de ataque baja

Vendedor: B&R

Equipo: APROL

Vulnerabilidades: Inclusión de Funcionalidad de Esfera de Control No Confiada, Filtrado Incompleto de Elementos Especiales, Control Inadecuado de Generación de Código ('Inyección de Código'), Manejo Inadecuado de Permisos o Privilegios Insuficientes, Asignación de Recursos Sin Límites o Regulación, Autenticación Faltante para Función Crítica, Exposición de Información Confidencial del Sistema a una Esfera de Control No Autorizada, Exposición de Elemento de Datos a una Sesión Incorrecta, Falsificación de Petición del Lado del Servidor (SSRF), Neutralización Incorrecta de Entrada Durante la Generación de Página Web ('Cross-site Scripting'), Control Externo de Nombre de Archivo o Ruta, Asignación Incorrecta de Permisos para Recurso Crítico

La explotación exitosa de estas vulnerabilidades podría permitir a un atacante ejecutar comandos, elevar privilegios, recopilar información confidencial o alterar el producto.

B&R ha identificado los siguientes Métodos de Trabajo del Aprol y Aprol-correlativos:

Versión del APROL 4.4-01: B&R recomienda que los usuarios apliquen el parche o actualicen a una versión no vulnerable lo antes posible.

Versión del APROL 4.4-00P1: B&R recomienda que los usuarios apliquen el parche o actualicen a una versión no vulnerable lo antes posible.

Versión del APROL 4.4-00P5: B&R recomienda que los usuarios apliquen el parche o actualicen a una versión no vulnerable lo antes posible.

Para obtener más información, consulte el aviso de seguridad de B&R.

No se han reportado públicamente explotaciones específicas dirigidas a estas vulnerabilidades hasta el momento.

3 de abril de 2025: Publicación inicial de B&R SA24P015

• ICSA-25-093-01 Hitachi Energy RTU500 Series
• ICSA-25-093-02 Hitachi Energy TRMTracker
• ICSA-25-093-03 ABB ACS880 Drives Containing CODESYS RTS
• ICSA-25-093-04 ABB Low Voltage DC Drives and Power Controllers CODESYS RTS
• ICSA-25-093-05 B&R APROL

CISA recomienda a los usuarios y administradores revisar los nuevos avisos de ICS publicados para obtener detalles técnicos y mitigaciones.

Ver CSAF

1. RESUMEN EJECUTIVO

• CVSS v3 8.8
• ATTENTION: Exploitable remotamente/baja complejidad de ataque
• Vendedor: ABB
• Equipamiento: Unidad de memoria DCT880 incluido licencia de ABB Drive Application Builder (IEC 61131-3), Unidad de memoria DCT880 incluido Optimizador de Energía, Unidad de memoria DCS880 incluido licencia de ABB Drive Application Builder (IEC 61131-3), Unidad de memoria DCS880 incluido DEMag, Unidad de memoria DCS880 incluido DCC
• Vulnerabilidades: Validación Incorrecta de Entrada, Escritura Fuera de Límites, Restricción Incorrecta de Operaciones dentro de los Límites de un Buffer de Memoria

2. EVALUACIÓN DE RIESGOS

La explotación exitosa de estas vulnerabilidades podría permitir a los atacantes desencadenar una condición de denegación de servicio o ejecutar código arbitrario a través de las interfaces del bus de campo.

3. DETALLES TÉCNICOS

3.1 PRODUCTOS AFECTADOS

ABB informa que los siguientes productos de accionamiento de CC de baja tensión y controlador de potencia contienen una versión vulnerable de CODESYS Runtime:

• Unidad de memoria DCT880 incluido licencia de ABB Drive Application Builder (IEC 61131-3): Todas las versiones
• Unidad de memoria DCT880 incluido Optimizador de Energía: Todas las versiones
• Unidad de memoria DCS880 incluido licencia de ABB Drive Application Builder (IEC 61131-3): Todas las versiones
• Unidad de memoria DCS880 incluido DEMag: Todas las versiones
• Unidad de memoria DCS880 incluido DCC: Todas las versiones

3.2 RESUMEN DE VULNERABILIDADES

3.2.1 VALIDACIÓN INCORRECTA DE ENTRADA CWE-20

Después de la autenticación exitosa como usuario en múltiples versiones de varios productos CODESYS, solicitudes de comunicación de red específicamente diseñadas con contenido inconsistente pueden causar que el componente CmpAppForce lea internamente desde una dirección inválida, lo que podría llevar a una condición de denegación de servicio.

CVE-2023-37559 ha sido asignado a esta vulnerabilidad. Se ha calculado un puntaje base de CVSS v3 de 6.5; el vector CVSS es (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H).

Más información en la sitio web de Q2BSTUDIO.