Ver CSAF
1. Resumen ejecutivo
CVSS V4 9.5
ATENCIÓN: Explotable de forma remota/baja complejidad de ataque
Proveedor: Schneider Electric
Equipo: ECOSTRUXURE IT Data Center Expert
Vulnerabilidades: Neutralización inadecuada de elementos especiales utilizados en un comando OS (‘inyección de comandos de OS’), entropía insuficiente, control inadecuado de la generación de código (‘inyección de código), falsificación de solicitud del lado del servidor (SSRF), manejo de privilegios inadecuados y restricción incorrecta de XML de referencia de entidad externa
2. Evaluación de riesgos
La explotación exitosa de estas vulnerabilidades podría permitir a un atacante interrumpir las operaciones y acceder a los datos del sistema.
3. Detalles técnicos
3.1 Productos afectados
Schneider Electric Reports El siguiente producto se ve afectado:
Ecostruxure TI Data Center Expert: Versiones V8.3 y Prior
3.2 Descripción general de vulnerabilidad
3.2.1 Neutralización inadecuada de elementos especiales utilizados en un comando OS (‘inyección de comando OS’) CWE-78
Existe una neutralización inadecuada de los elementos especiales utilizados en una vulnerabilidad de comando OS (‘inyección de comando de OS’), lo que podría causar la ejecución de código remoto no autenticado cuando se crea una carpeta maliciosa a través de la interfaz web HTTP cuando está habilitado. HTTP está deshabilitado de forma predeterminada.
CVE-2025-50121 ha sido asignado a esta vulnerabilidad. Se ha calculado una puntuación base CVSS v3.1 de 10.0; La cadena de vector CVSS es (CVSS: 3.1/AV: N/AC: N/UI: N/IU: C: H/I: H/A: H/A: H).
También se ha calculado una puntuación CVSS V4 para CVE-2025-50121. Se ha calculado una puntuación base de 9.5; La cadena de vector CVSS es (CVSS: 4.0/AV: N/AC: L/AT: P/PR: N/UI: N/VC: H/VI: H/VA: H/SC: H/SI: L/SA: H: H:).
3.2.2 Entropía insuficiente CWE-331
Existe una vulnerabilidad de entropía insuficiente, lo que podría causar el descubrimiento de contraseña de root cuando el algoritmo de generación de contraseñas se diseña inversa con acceso a la instalación o los artefactos de actualización.
CVE-2025-50122 ha sido asignado a esta vulnerabilidad. Se ha calculado una puntuación base CVSS v3.1 de 8.3; La cadena de vector CVSS es (CVSS: 3.1/AV: A/AC: H/PR: N/UI: C: H/I: H/A: H/A: H).
También se ha calculado una puntuación CVSS V4 para CVE-2025-50122. Se ha calculado una puntuación base de 8.9; La cadena de vector CVSS es (CVSS: 4.0/AV: A/AC: H/AT: N/PR: N/UI: N/VC: H/VI: H/VA: H/SC: H/SI: L/SA: H: H:).
3.2.3 Control inadecuado de la generación de código (‘inyección de código’) CWE-94
Existe un control incorrecto de la generación de la vulnerabilidad de la generación de código (‘inyección de código’), lo que podría causar la ejecución de comandos remotos por una cuenta privilegiada cuando se accede al servidor a través de una consola y se explota la entrada del nombre de host.
CVE-2025-50123 ha sido asignado a esta vulnerabilidad. Se ha calculado una puntuación base CVSS v3.1 de 7.2; La cadena de vector CVSS es (CVSS: 3.1/AV: P/AC: H/UI: C: H/I: H/A: H/A: H).
También se ha calculado una puntuación CVSS V4 para CVE-2025-50123. Se ha calculado una puntuación base de 7.2; La cadena de vector CVSS es (CVSS: 4.0/AV: P/AC: L/AT: P/PR: H/UI: N/VC: H/VI: H/VA: H/SC: H/SI: L/SA: H:).
3.2.4 Fase de solicitud del lado del servidor (SSRF) CWE-918
Existe una vulnerabilidad de falsificación de solicitud del lado del servidor (SSRF), lo que podría causar una ejecución de código remoto no autenticado cuando se accede al servidor a través de la red con conocimiento de URL ocultas y la manipulación del encabezado de solicitud de host.
CVE-2025-50125 ha sido asignado a esta vulnerabilidad. Se ha calculado una puntuación base CVSS v3.1 de 7.2; La cadena de vector CVSS es (CVSS: 3.1/AV: N/AC: L/PR: N/UI: N/S: C/C: L/I: L/A: N).
También se ha calculado una puntuación CVSS V4 para CVE-2025-50125. Se ha calculado una puntuación base de 6.3; La cadena de vector CVSS es (CVSS: 4.0/AV: N/AC: L/AT: P/PR: N/UI: N/VC: L/VI: L/VA: N/SC: L/SI: N/SA: N).
3.2.5 Gestión de privilegios inadecuados CWE-269
Existe una vulnerabilidad de administración de privilegios inadecuados, lo que podría causar una escalada de privilegios cuando se accede al servidor mediante una cuenta privilegiada a través de una consola y mediante la explotación de un script de configuración.
CVE-2025-50124 ha sido asignado a esta vulnerabilidad. Se ha calculado una puntuación base CVSS v3.1 de 6.9; La cadena de vector CVSS es (CVSS: 3.1/AV: P/AC: H/UI: N/S: H/I: H/A: H/A: H/A: H.).
También se ha calculado una puntuación CVSS V4 para CVE-2025-50124. Se ha calculado una puntuación base de 7.2; La cadena de vector CVSS es (CVSS: 4.0/AV: P/AC: H/AT: P/PR: H/UI: N/VC: H/VI: H/VA: H/SC: H/SI: L/SA: H:).
3.2.6 Restricción inadecuada de la referencia de entidad externa XML CWE-611
Existe una restricción inadecuada de la vulnerabilidad de referencia de entidad externa XML, lo que podría causar la manipulación de las llamadas de API SOAP y la inyección de entidades externas XML, lo que resulta en un acceso de archivo no autorizado cuando se accede al servidor a través de la red utilizando una cuenta de aplicación.
CVE-2025-6438 ha sido asignado a esta vulnerabilidad. Se ha calculado una puntuación base CVSS v3.1 de 6.8; La cadena de vector CVSS es (CVSS: 3.1/AV: N/AC: H/UI: N/S: C: H/I: N/A: N).
También se ha calculado una puntuación CVSS V4 para CVE-2025-6438. Se ha calculado una puntuación base de 5.9; La cadena de vector CVSS es (CVSS: 4.0/AV: N/AC: L/AT: P/PR: H/UI: N/VC: H/VI: N/VA: N/SC: L/SI: N/SA: N).
3.3 Antecedentes
Sectores de infraestructura crítica: Fabricación crítica
Países/áreas desplegadas: Mundial
Ubicación de la sede de la empresa: Francia
3.4 investigador
Jaggar Henry y Jim Becher de Korelogic, Inc. informaron estas vulnerabilidades a Schneider Electric.
4. Mitigaciones
Schneider Electric ha identificado las siguientes soluciones y mitigaciones específicas que los usuarios pueden aplicar para reducir el riesgo:
Schneider Electric ECOSTRUXURE IT Center Expert Versión 8.3 y anterior: Versión 9.0 de Ecostruxure TI Center Data Expert incluye soluciones para estas vulnerabilidades y está disponible a pedido del Centro de Atención al Cliente de Schneider Electric.
Si los usuarios eligen no aplicar la remediación proporcionada anteriormente, deben aplicar inmediatamente las siguientes mitigaciones para reducir el riesgo de exploit:
Endurecer la instancia de DCE de acuerdo con las mejores prácticas de seguridad cibernética documentadas en el EcoStruxure TI Data Center Expert Manual de seguridad
Para obtener más información, consulte el Asesor de seguridad Schneider Electric CPCERT Association SEVD-2025-189-01 ECOSTRUXURE IT Data Center Expert-SEVD-2025-189-01 Versión PDF, ECOSTRUXURE IT Data Center Expert-SEVD-2025-189-01 Versión CSAF.
CISA recomienda que los usuarios tomen medidas defensivas para minimizar el riesgo de explotación de estas vulnerabilidades, como:
Minimizar la exposición de la red para todos los dispositivos y/o sistemas del sistema de control, asegurando que sean No es accesible desde Internet.
Localice las redes de sistemas de control y los dispositivos remotos detrás de los firewalls y aislarlos de las redes comerciales.
Cuando se requiere acceso remoto, use métodos más seguros, como redes privadas virtuales (VPN). Reconocer VPN puede tener vulnerabilidades, debe actualizarse a la versión más reciente disponible y son tan seguras como los dispositivos conectados.
CISA recuerda a las organizaciones que realicen un análisis de impacto adecuado y una evaluación de riesgos antes de implementar medidas defensivas.
CISA también proporciona una sección para Control Sistemas Seguridad Prácticas recomendadas en la página web de ICS en cisa.gov. Varios productos de CISA que detallan las mejores prácticas de defensa cibernética están disponibles para leer y descargar, incluida Mejora de los sistemas de control industrial Ciberseguridad con estrategias de defensa en profundidad.
CISA alienta a las organizaciones a implementar estrategias recomendadas de ciberseguridad para Defensa proactiva de los activos del ICS.
La orientación de mitigación adicional y las prácticas recomendadas están disponibles públicamente en la página web de ICS en cisa.gov En el documento de información técnica, ICS-TIP-12-146-01B-Detección de intrusión cibernética dirigida a estrategias.
Las organizaciones que observan sospecha de actividad maliciosa deben seguir procedimientos internos establecidos e informes de informes a CISA para el seguimiento y la correlación contra otros incidentes.
No se ha informado de explotación pública conocida específicamente estas vulnerabilidades a CISA en este momento.
5. Historial de actualización
22 de julio de 2025: republicación inicial de Schneider Electric CPCERT SEVD-2025-189-01