A Schneider Electric está ciente de uma vulnerabilidade em seus produtos EcoStruxure™ Process e EcoStruxure™ Process Expert para a plataforma AVEVA System Platform. O EcoStruxure™ Process é um sistema de automação para projetar, operar e manter toda a sua infraestrutura, visando uma planta sustentável, produtiva e ágil para o mercado; o EcoStruxure™ Process Expert para AVEVA System Platform permite que os usuários alcancem rentabilidade operacional desde a engenharia de projeto até o atendimento às demandas da produção moderna. Ele fornece uma plataforma de automação orientada a objetos e centrada em ativos para implementar padrões em todo o sistema em um ecossistema digital.
A não aplicação das correções/mitigações fornecidas pode resultar na modificação dos binários executáveis, o que pode levar à escalada de privilégios.
Foram afetadas as seguintes versões da Schneider Electric:
- EcoStruxure™ Process Expert (CVE-2025-13905)
| CVSS | Fornecedor | Equipamento | Vulnerabilidades |
| v3 7.3 | Schneider Electric | Especialista em Processos EcoStruxure da Schneider Electric | Permissões padrão incorretas |
Fundo
- Setores de Infraestrutura Crítica: Manufatura Crítica, Energia, Instalações Comerciais
- Países/Áreas de Implantação: Mundial
- Localização da sede da empresa: França
CVE-2025-13905 CWE-276: Existe uma vulnerabilidade de permissões padrão incorretas que pode causar escalonamento de privilégios por meio de um shell reverso quando um ou mais binários executáveis do serviço são modificados na pasta de instalação por um usuário local com privilégios normais durante a reinicialização do serviço.
A equipe de resposta a incidentes de segurança da Schneider Electric (CPCERT) reportou essa vulnerabilidade à CISA e Charit Misra, da DNV Cyber, reportou essa vulnerabilidade à Schneider Electric.
Recomendações gerais de segurança
Recomenda-se fortemente as seguintes práticas recomendadas de cibersegurança do setor: https://www.se.com/us/en/download/document/7EN52-0390/
* Localize as redes de sistemas de controle e segurança e os dispositivos remotos atrás de firewalls e isole-os da rede corporativa.
* Instale controles físicos para que nenhum pessoal não autorizado possa acessar seus sistemas de controle e segurança industrial, componentes, equipamentos periféricos e redes.
* Coloque todos os controladores em gabinetes trancados e nunca os deixe no modo “Programar”.
* Nunca conecte o software de programação a qualquer rede que não seja a rede destinada ao dispositivo.
* Verifique todos os métodos de troca de dados móveis com a rede isolada, como CDs, unidades USB, etc., antes de usá-los nos terminais ou em qualquer nó conectado a essas redes.
* Nunca permita que dispositivos móveis que se conectaram a qualquer outra rede além da rede destinada se conectem às redes de segurança ou controle sem a devida higienização.
* Minimize a exposição da rede para todos os dispositivos e sistemas de controle e assegure-se de que eles não sejam acessíveis pela Internet.
* Quando o acesso remoto for necessário, use métodos seguros, como Redes Virtuais Privadas (VPNs). Reconheça que as VPNs podem apresentar vulnerabilidades e devem ser atualizadas para a versão mais recente disponível. Além disso, entenda que a segurança das VPNs depende da segurança dos dispositivos conectados. Para obter mais detalhes e assistência sobre como proteger sua instalação, entre em contato com seu representante local da Schneider Electric ou com os Serviços de Segurança Cibernética Industrial da Schneider Electric.
