Schneider Electric ha revelado un conjunto crítico de seis vulnerabilidades que afectan su software experto en el centro de datos EcoStruxure TI que podría permitir a los atacantes ejecutar código remoto y obtener acceso al sistema no autorizado.
Las vulnerabilidades, descubiertas en las versiones 8.3 y anteriores, presentan riesgos de seguridad significativos para las operaciones de los centros de datos en todo el mundo.
La vulnerabilidad más severa, rastreada como CVE-2025-50121, tiene una puntuación CVSS perfecta de 10.0 y permite la ejecución de código remoto no autenticado a través de la inyección del comando OS.
Este defecto crítico ocurre cuando los actores maliciosos crean carpetas especialmente diseñadas a través de la interfaz web cuando HTTP está habilitado, aunque el protocolo está deshabilitado de forma predeterminada.
Las vulnerabilidades adicionales incluyen entropía insuficiente en la generación de contraseñas (CVE-2025-50122), inyección de código a través de la manipulación del nombre de host (CVE-2025-50123) y los ataques de falsificación de solicitudes del lado del servidor (CVE-2025-50125).
Analistas de Schneider Electric identificado Estas vulnerabilidades a través de investigaciones integrales de seguridad realizadas por investigadores externos Jaggar Henry y Jim Becher de Korelogic, Inc.
La compañía ha reconocido la gravedad de estos hallazgos y ha publicado documentación técnica detallada que describe los vectores de ataque y los posibles impactos.
Las vulnerabilidades afectan colectivamente la plataforma experta de Centro de datos de TI Ecostruxure, que sirve como software de monitoreo escalable para equipos de infraestructura crítica en numerosos entornos industriales.
Mecanismo de inyección de comando OS
El vector de ataque principal se centra en la vulnerabilidad de inyección de comandos OS de CVE-2025-50121, que explota una neutralización inadecuada de elementos especiales en los comandos del sistema.
Cuando HTTP está habilitado en la interfaz web, los atacantes pueden manipular los procesos de creación de carpetas para inyectar comandos maliciosos directamente en el sistema operativo subyacente.
Esta técnica omite los mecanismos de validación de entrada estándar y otorga acceso inmediato a nivel de sistema sin requisitos de autenticación.
La vulnerabilidad se manifiesta cuando la aplicación procesa los nombres de la carpeta suministrados por el usuario sin la desinfección adecuada, lo que permite que los metacharacteres de shell se interpreten como comandos del sistema.
Por ejemplo, los nombres de carpetas que contienen semicolones, tuberías o retroceso pueden salir del contexto de comando previsto y ejecutar código arbitrario con privilegios del sistema.
CVE IDCVSS v3.1 Scorecvss v4.0 scoreVulnerability typeattack vectorCVE-2025-5012110.0 (crítico) 9.5 (crítico) OS Comando inyectionnetWorkCVE-2025-5012228.3 (alto) 8.9 (alto) Insuficiente Insuficiente Network Network CVE-2025-501237.2 (alto) 7.2 (alto) Code). InyectSphySicalCVE-2025-501257.2 (alta) 6.3 (medio) Solicitud del lado del servidor ForgerynetworkCVE-2025-501246.9 (Medium) 7.2 (Alto) Privilegio ManagementSicalCVE-2025-64386.8 (medio) 5.9 (medio) XML ENTRADA ENTRADA ENTRADA ENTERNA
Las organizaciones deben actualizarse inmediatamente a Ecostruxure IT Data Center Expert Versión 9.0, que aborda todas las vulnerabilidades identificadas.
Como mitigación provisional, los administradores deben deshabilitar el acceso HTTP e implementar controles de segmentación de red después del manual de las mejores prácticas de seguridad cibernética de Schneider Electric.
Investigue el comportamiento de malware en vivo, rastree cada paso de un ataque y tome decisiones de seguridad más rápidas y inteligentes -> Prueba cualquiera.
