NCSC-2026-0079

Siemens heeft kwetsbaarheden verholpen in diverse producten als Heliox, Ruggedcom, SICAM, SIDIS en SIMATIC.

De kwetsbaarheden stellen een kwaadwillende mogelijk in staat aanvallen uit te voeren die kunnen leiden tot de volgende categorieën schade:

• Denial-of-Service (DoS)
• Manipulatie van gegevens
• Omzeilen van een beveiligingsmaatregel
• (Remote) code execution (root/admin rechten)
• Toegang tot systeemgegevens
• Verhogen van rechten

Voor succesvol misbruik van de genoemde kwetsbaarheden moet de kwaadwillende toegang hebben tot de productie-omgeving. Het is goed gebruik een dergelijke omgeving niet publiek toegankelijk te hebben.

Siemens heeft beveiligingsupdates uitgebracht om de kwetsbaarheden te verhelpen. Voor de kwetsbaarheden waar nog geen updates voor zijn, heeft Siemens mitigerende maatregelen gepubliceerd om de risico's zoveel als mogelijk te beperken. Zie de bijgevoegde referenties voor meer informatie.

medium

high

Improper Input Validation

Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')

Relative Path Traversal

External Control of File Name or Path

Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')

Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')

Stack-based Buffer Overflow

Out-of-bounds Read

Improper Handling of Length Parameter Inconsistency

Use of Externally-Controlled Format String

Incorrect Behavior Order: Early Validation

Incomplete List of Disallowed Inputs

Integer Overflow or Wraparound

Numeric Truncation Error

Exposure of Sensitive Information to an Unauthorized Actor

Insertion of Sensitive Information Into Sent Data

Observable Discrepancy

Observable Timing Discrepancy

Improper Access Control

Authentication Bypass Using an Alternate Path or Channel

Improper Certificate Validation

Use of Insufficiently Random Values

Exposure of Private Personal Information to an Unauthorized Actor

Uncontrolled Resource Consumption

Improper Resource Shutdown or Release

Interpretation Conflict

Inconsistent Interpretation of HTTP Requests ('HTTP Request/Response Smuggling')

Uncontrolled Recursion

Allocation of Resources Without Limits or Throttling

Out-of-bounds Write

Loop with Unreachable Exit Condition ('Infinite Loop')

Improper Restriction of Communication Channel to Intended Endpoints

CWE-937

Improper Verification of Source of a Communication Channel

CWE-1035

Improperly Controlled Modification of Object Prototype Attributes ('Prototype Pollution')

Inefficient Regular Expression Complexity