SK-CERT Bezpečnostné varovanie V20250709-03

Dôležitosť Kritická
Klasifikácia Neutajované/TLP:CLEAR
CVSS Skóre
10.0
Identifikátor
Schneider Electric EcoStruxure IT Data Center Expert a EcoStruxure Power Operation – kritická bezpečnostná zraniteľnosť
Popis
Spoločnosť Schneider Electric vydala bezpečnostné aktualizácie na produkty EcoStruxure IT Data Center Expert a EcoStruxure Power Operation, ktoré opravujú viacero bezpečnostných zraniteľností, z ktorých jedna je označená ako kritická.
Kritická bezpečnostná zraniteľnosť s identifikátorom CVE-2025-50121 sa nachádza v produkte EcoStruxure IT Data Center Expert, spočíva v nedostatočnom overovaní používateľských vstupov a umožňuje vzdialenému, neautentifikovanému útočníkovi prostredníctvom injekcie špeciálne upravených príkazov, pri vytváraní priečinka prostredníctvom HTTP rozhrania, vykonať škodlivý kód s následkom úplného narušenia dôvernosti, integrity a dostupnosti systému. V predvolenej konfigurácii nie je rozhranie HTTP povolené.
Zneužitím ostatných bezpečnostných zraniteľností možno získať neoprávnený prístup k citlivým údajom, vykonať neoprávnené zmeny v systéme, spôsobiť zneprístupnenie služby, získať úplnú kontrolu nad systémom, eskalovať privilégiá a vykonať škodlivý kód.
Dátum prvého zverejnenia varovania
8.7.2025
CVE
CVE-2025-6438, CVE-2025-50125, CVE-2025-50124, CVE-2025-50123, CVE-2025-50122, CVE-2025-50121, CVE-2024-28219, CVE-2023-5217, CVE-2023-50447, CVE-2023-44487, CVE-2023-35945, CVE-2022-45198, CVE-2020-11023
IOC
Zasiahnuté systémy
EcoStruxure IT Data Center Expert vo verzii staršej ako 9.0
EcoStruxure Power Operation (EPO) 2022 vo verzii staršej ako CU6 (vrátane)
EcoStruxure Power Operation (EPO) 2024 vo verzii staršej ako CU2
Následky
Vykonanie škodlivého kódu
Eskalácia privilégií
Neoprávnený prístup k citlivým údajom
Neoprávnená zmena v systéme
Zneprístupnenie služby
Neoprávnený prístup do systému
Odporúčania
Administrátorom a používateľom odporúčame bezodkladne vykonať aktualizáciu zasiahnutých systémov.
Pri produktoch, pre ktoré ešte neboli vydané bezpečnostné záplaty, odporúčame zraniteľnosti mitigovať podľa odporúčaní od výrobcu, sledovať stránky výrobcu a po vydaní príslušných záplat systémy aktualizovať.
Po odstránení zraniteľností, ktoré mohli spôsobiť vzdialené vykonanie kódu, je dobrou praxou kontrola systému a zmena všetkých hesiel a kľúčov na dotknutom systéme a aj na iných systémoch, kde sa používalo rovnaké heslo či kľúč.
Riadiace jednotky a systémy odporúčame prevádzkovať úplne oddelené od internetu. Ak je potrebný vzdialený prístup, použite virtuálnu súkromnú sieť (VPN). Administrátorom odporúčame filtrovať sieťovú komunikáciu bezpečnostnými prvkami sieťovej infraštruktúry.
V prípade, že aktualizácia systému nie je možná, odporúčame postupovať podľa pokynov výrobcu uvedených na odkazoch v sekcii ZDROJE.
Výrobca tiež odporúča aplikovať best practice postupy dostupné na webovej adrese:
https://www.se.com/us/en/download/document/7EN52-0390/
Zdroje
https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2025-189-01&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2025-189-01.pdf
https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2025-189-03&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2025-189-03.pdf
https://www.se.com/us/en/download/document/7EN52-0390/

« Späť na zoznam