Avisos de seguridad de Siemens de abril 2025

Fecha de publicación 08/04/2025

Identificador

INCIBE-2025-0171

Importancia

5 - Crítica

Recursos Afectados

Están afectados los siguientes productos o familias de productos:

Industrial Edge Devices;
Industrial Edge Device Kit - arm64, desde la versión 1.17 hasta 1.21;
Industrial Edge Device Kit - x86-64, desde la versión 1.17 hasta 1.21;
Mendix Runtime, versiones 8, 9, 10, 10.6, 10.12 y 10.18;
SENTRON 7KT PAC1260 Data Manager;
SIDIS Prime;
Siemens License Server (SLS);
SIDOOR ATD430W;
SIDOOR ATE530G COATED;
SIDOOR ATE530S COATED;
SIMATIC CFU DIQ;
SIMATIC CFU PA;
SIMATIC ET 200AL IM 157-1 PN;
SIMATIC ET 200M IM 153-4 PN IO;
SIMATIC ET 200MP IM 155-5 PN;
SIMATIC ET 200S IM 151-3 PN;
SIMATIC ET 200SP IM 155-6 MF HF;
SIMATIC ET 200SP IM 155-6 PN;
SIMATIC ET 200SP IM 155-6 PN/2;
SIMATIC ET 200SP IM 155-6 PN/3;
SIMATIC ET 200pro IM 154-3 PN;
SIMATIC ET 200pro IM 154-4 PN;
SIMATIC S7-300 CPU;
SIMATIC S7-400 H V6 CPU;
SIMATIC S7-400 PN/DP V7 CPU;
SIMATIC S7-410 V8 CPU;
SIMATIC S7-410 V10 CPU;
SIMATIC S7-1200 CPU;
SIMATIC S7-1500 CPU;
SIMATIC PN/PN Coupler;
SIMATIC Power Line Booster PLB;
SIMATIC TDC;
SIMOCODE pro V Ethernet/IP;
SIMOCODE pro V PROFINET;
SINUMERIK 840D sl;
SIPLUS HCS4200 CIM4210;
SIPLUS HCS4200 CIM4210C;
SIPLUS HCS4300 CIM4310;
SIPLUS NET PN/PN Coupler;
SIWAREX WP231;
SIWAREX WP241;
SIWAREX WP251;
SIWAREX WP521 ST;
SIWAREX WP522 ST;
Solid Edge SE2024;
Solid Edge SE2025;
Insights Hub Private Cloud.

Consultar modelos concretos y versiones afectadas en la sección de 'Referencias'.

Descripción

Siemens ha publicado en su comunicado mensual varias actualizaciones de seguridad de diferentes productos.

Solución

Las actualizaciones que corrigen las vulnerabilidades indicadas pueden obtenerse desde el panel de descarga de Siemens. Para los productos sin actualizaciones disponibles es recomendable aplicar las medidas de mitigación descritas en la sección de 'Referencias'.

Detalle

Siemens, en su comunicado mensual de parches de seguridad, ha emitido un total de 9 nuevos avisos de seguridad, recopilando un total de 35 vulnerabilidades de distintas severidades, entre ellas 7 críticas, que se describen a continuación:

CVE-2024-41788: en el producto SENTRON la interfaz web de sus dispositivos no depura los parámetros de entrada, input, en solicitudes GET específicas. Esto podría permitir que un atacante remoto autenticado ejecute código arbitrario con privilegios de root.
CVE-2024-41789: en el producto SENTRON la interfaz web de sus dispositivos no depura el parámetro de idioma en solicitudes POST específicas. Esto podría permitir que un atacante remoto autenticado ejecute código arbitrario con privilegios de root.
CVE-2024-41790: en el producto SENTRON la interfaz web de sus dispositivos no depura el parámetro 'region' en solicitudes POST específicas. Esto podría permitir que un atacante remoto autenticado ejecute código arbitrario con privilegios de root.
CVE-2024-41792: en el producto SENTRON la interfaz web de sus dispositivos presenta una vulnerabilidad de salto de ruta, path traversal. Esto podría permitir que un atacante no autenticado acceda a archivos arbitrarios en el dispositivo con privilegios de root.
CVE-2024-41794: en el producto SENTRON hay almacenadas en el código credenciales con privilegios de root, para el acceso remoto al sistema operativo del dispositivo. Esto podría permitir que atacantes remotos, no autenticados, obtengan acceso completo a un dispositivo si poseen estas credenciales y el servicio SSH está habilitado.
CVE-2024-54092: los dispositivos Industrial Edge no aplican correctamente la autenticación de usuario en endpoints API específicos cuando se utiliza la federación de identidades. Esto podría facilitar que un atacante remoto no autenticado omita la autenticación y se haga pasar por un usuario legítimo.
CVE-2025-1974: se descubrió un problema de seguridad en Kubernetes donde, bajo ciertas condiciones, un atacante, no autenticado, con acceso a la red de 'pods' puede lograr la ejecución de código arbitrario en el contexto del controlador ingress-nginx. Esto puede llevar a la divulgación de información sensible accesible al controlador.