Ver CSAF
1. Resumen ejecutivo
CVSS V4 5.3
ATENCIÓN: Explotable de forma remota/baja complejidad de ataque
Proveedor: Schneider Electric
Equipo: EcoStruxure Power Monitoring Expert (PME) y Ecostruxure Power Operation (EPO)
Vulnerabilidad: Exposición de recursos a una esfera incorrecta
2. Evaluación de riesgos
La explotación exitosa de esta vulnerabilidad podría proporcionar a otros usuarios autenticados un acceso potencialmente inapropiado a los diagramas TGML.
3. Detalles técnicos
3.1 Productos afectados
Schneider Electric Reports Los siguientes productos se ven afectados:
Experto en monitoreo de energía EcoStruxure (PME): 2023
Ecostruxure Power Monitoring Expert (PME): 2023 R2
Experto en monitoreo de energía EcoStruxure (PME): 2024
Experto en monitoreo de energía EcoStruxure (PME): 2024 R2
Ecostruxure Power Operation (EPO) Módulo de informes y paneles avanzados: 2022
Ecostruxure Power Operation (EPO) Módulo de informes y paneles avanzados: 2024
3.2 Descripción general de vulnerabilidad
3.2.1 Exposición de recursos a la esfera incorrecta CWE-668
Existe una vulnerabilidad de exposición a recursos que expone los recursos del diagrama TGML al control no autorizado, lo que permite a otros usuarios autenticados acceso no autorizado a los diagramas TGML.
CVE-2025-6788 ha sido asignado a esta vulnerabilidad. Se ha calculado una puntuación base CVSS v3.1 de 4.3; La cadena de vector CVSS es (CVSS: 3.1/AV: N/AC: L/PR: L/UI: N/S: U/C: L/I: N/A: N).
También se ha calculado una puntuación CVSS V4 para CVE-2025-6788. Se ha calculado una puntuación base de 5.3; La cadena de vector CVSS es (CVSS: 4.0/AV: N/AC: L/AT: N/PR: L/UI: N/VC: L/VI: N/VA: N/SC: N/SI: N/SA: N).
3.3 Antecedentes
Sectores de infraestructura crítica: Instalaciones comerciales, fabricación crítica, energía
Países/áreas desplegadas: Mundial
Ubicación de la sede de la empresa: Francia
3.4 investigador
Schneider Electric informó esta vulnerabilidad a CISA.
4. Mitigaciones
Schneider Electric ha identificado las siguientes remediaciones específicas que los usuarios pueden aplicar para reducir el riesgo:
Ecostruxure Power Monitoring Expert (PME) 2023, 2023 R2: Hotfix_199767 está disponible e incluye una solución para esta vulnerabilidad.
Ecostruxure Power Monitoring Expert (PME) 2024: Hotfix_256448_diagrams-Lelease.13.0.25182.01 está disponible e incluye una solución para esta vulnerabilidad.
Ecostruxure Power Monitoring Expert (PME) 2024 R2: Hotfix_256448_diagrams-Lelease.13.1.25182.01 está disponible e incluye una solución para esta vulnerabilidad.
Ecostruxure Power Operation (EPO) Informes avanzados y módulo de paneles 2022: Hotfix_199767 está disponible e incluye una solución para esta vulnerabilidad.
Ecostruxure Power Operation (EPO) Informes avanzados y paneles Módulo 2024: Hotfix_2564448_diagrams-Lelease.13.0.25182.0 está disponible e incluye una solución para esta vulnerabilidad.
Póngase en contacto con el centro de atención al cliente de Schneider Electric Para descargar estas hotfijos.
Schneider Electric recomienda que los usuarios empleen metodologías de parcheo apropiadas al aplicar estos parches a sus sistemas. Recomendan encarecidamente hacer copias de seguridad y evaluar el impacto de estos parches en un entorno de prueba y desarrollo o en infraestructura fuera de línea. Póngase en contacto con el centro de atención al cliente de Schneider Electric Para obtener ayuda, eliminar un parche.
Si los usuarios eligen no aplicar la remediación mencionada anteriormente, Schneider Electric recomienda la eliminación inmediata de los diagramas TGML de los sistemas administrados de múltiples inquilinos o los sistemas locales y revertir a diagramas VISTA.
Para obtener más información, consulte el Aviso de Sevora de Seguridad Eléctrica Asociada SEVD-2025-189-04: Expert en el EcoStruxure Power Monitoring (PME) y la operación de energía Ecostruxure (EPO) con informes avanzados y paneles Versión pdf, Versión CSAF.
Schneider Electric recomienda que se adhiera a las siguientes prácticas de seguridad cibernética de la industria:
Localice redes de sistemas de control y seguridad y dispositivos remotos detrás de los firewalls y aislarlos de la red comercial.
Instale controles físicos para evitar que el personal no autorizado acceda a los sistemas de control industrial y de seguridad, componentes, equipos periféricos y redes.
Coloque todos los controladores en gabinetes bloqueados y nunca los deje en el modo «programa».
Nunca conecte el software de programación a ninguna red que no sea la destinada a ese dispositivo.
Escanee todos los métodos de intercambio de datos móviles con la red aislada, como CDS, unidades USB, etc., antes de usarse en terminales o nodos conectados a estas redes.
Nunca permita que los dispositivos móviles que se hayan conectado a ninguna red que no sean la red prevista se conecte a las redes de seguridad o de control sin el saneamiento adecuado.
Minimice la exposición de la red para todos los dispositivos y sistemas de sistemas de control, asegurando que no sean accesibles desde Internet.
Cuando se requiere acceso remoto, use métodos seguros como redes privadas virtuales (VPN). Reconozca que las VPN pueden tener vulnerabilidades y deben actualizarse a la versión más actual disponible. Además, comprenda que las VPN son tan seguras como los dispositivos conectados.Para obtener más información, consulte el Schneider Electric recomendó el documento de las mejores prácticas de ciberseguridad.
CISA recomienda que los usuarios tomen medidas defensivas para minimizar el riesgo de explotación de esta vulnerabilidad. CISA recuerda a las organizaciones que realicen un análisis de impacto adecuado y una evaluación de riesgos antes de implementar medidas defensivas.
CISA también proporciona una sección para Control Sistemas Seguridad Prácticas recomendadas en la página web de ICS en cisa.gov. Varios productos de CISA que detallan las mejores prácticas de defensa cibernética están disponibles para leer y descargar, incluida Mejora de los sistemas de control industrial Ciberseguridad con estrategias de defensa en profundidad.
CISA alienta a las organizaciones a implementar estrategias recomendadas de ciberseguridad para Defensa proactiva de los activos del ICS.
La orientación de mitigación adicional y las prácticas recomendadas están disponibles públicamente en la página web de ICS en cisa.gov En el documento de información técnica, ICS-TIP-12-146-01B-Detección de intrusión cibernética dirigida a estrategias.
Las organizaciones que observan sospecha de actividad maliciosa deben seguir procedimientos internos establecidos e informes de informes a CISA para el seguimiento y la correlación contra otros incidentes.
CISA también recomienda que los usuarios tomen las siguientes medidas para protegerse de los ataques de ingeniería social:
No se ha informado de la explotación pública conocida específicamente a esta vulnerabilidad a CISA en este momento.
5. Historial de actualización
22 de julio de 2025: republicación inicial de Schneider Electric SEVD-2025-189-04