В комплекте Industrial Edge Device Kit от Siemens обнаружены уязвимости обхода путей. Пользователь с действующей учётной записью может через них добраться до внутренних служебных интерфейсов и прочитать сведения, которые ему не предназначены. Одна из уязвимостей открывает путь к несанкционированному доступу к системе, другая допускает ещё и удаление данных. Затронуты сборки для платформ arm64 и x86-64, от ветки 1.5 до ветки 1.28.
Уязвимости обхода путей и исправления последних веток
Industrial Edge Device Kit - программный комплект для промышленных устройств на границе сети. Уязвимости относятся к обходу путей (path traversal): в запросе подставляются переходы по каталогам, и система выходит за пределы разрешённой области. Такой приём даёт доступ к файлам вне каталога, отведённого приложению, и позволяет вызывать служебные функции напрямую. Причина в том, что доступ к внутренним программным интерфейсам (API) и путям файловой системы для пользователей с учётной записью ограничен недостаточно строго.
Схема атаки выглядит так: пользователь с учётной записью отправляет запрос, в котором путь выходит за пределы отведённого каталога. Система выполняет запрос и возвращает содержимое внутренних файлов или результат служебной функции. Дополнительных прав, кроме уже выданных, для этого не нужно. Практический результат - чтение внутренних файлов и обращение к функциям, которые не рассчитаны на обычного пользователя.
Атака идёт по сети, учётные данные нужны, участие пользователя не требуется. Уязвимость CVE-2026-44415 оценена в 9.1 из 10 по CVSS - общей шкале серьёзности уязвимостей. Помимо чтения данных, её описание допускает удаление информации.
Уязвимость CVE-2026-44414 ограничивается раскрытием внутренней информации и, в худшем случае, доступом к системе; удаление данных в её описании не упомянуто. Её оценка - 6.8 из 10, уровень Medium. Идентификаторы приведены в уведомлении Siemens ProductCERT SSA-377139, там они отнесены к категории CWE-35, обход путей. Первая редакция документа вышла 13 октября 2026 года, вторая - 22 октября и помечена как перепечатка на сайте CISA.
Исправления выпущены для последних веток. В ветке 1.28 нужно обновиться до сборки 1.28.0-6 или более новой, в ветке 1.27 - до 1.27.1-1, в ветке 1.26 - до 1.26.2-1. Обновление снимает уязвимости, указанные для соответствующей ветки. Номер сборки для конкретного устройства стоит сверять в уведомлении Siemens ProductCERT SSA-377139 и в руководстве по эксплуатации продукта.
Для веток с 1.5 по 1.25 исправление не планируется: вендор прямо указывает, что выпускать его не собирается. Если нужной ветки в списке исправлений нет, обновления не будет и остаётся только сетевое ограничение. Обходных мер, кроме сетевых, уведомление не предлагает. Единственная рекомендация вендора - ограничить сетевой доступ к устройствам доверенными сторонами.
CISA дополнительно советует держать такие устройства за межсетевым экраном, не выставлять их в интернет, а для удалённого доступа применять виртуальные частные сети (VPN). Сетевые ограничения не устраняют уязвимость, а сокращают число тех, кто может её использовать. Требование учётной записи снижает риск, но не отменяет его: для атаки подходит любая действующая учётная запись.
Проблема касается промышленных площадок по всему миру: в уведомлении перечислены обрабатывающая промышленность, энергетика, транспорт, здравоохранение, финансовый сектор и государственные объекты. Устройства Industrial Edge стоят рядом с производственным оборудованием. Поэтому ограничение доступа к ним из корпоративной сети и из интернета снижает риск и там, где обновление недоступно.
Сведений об эксплуатации этих уязвимостей в реальных атаках в уведомлении нет. Публикация технических деталей сама по себе не означает, что проблемы уже используют. Значимость высокая: уязвимости требуют лишь действующей учётной записи, а для ряда затронутых веток исправления не будет. Основная защита - сетевые ограничения вокруг промышленных устройств и обновление до исправленных сборок там, где они вышли. Дополнительно важен порядок выдачи доступа к самим устройствам.
Ссылки
