Siemens относит RUGGEDCOM CROSSBOW Station Access Controller к затронутым продуктам. Встроенная в контроллер база данных SQLite содержит несколько уязвимостей. Часть из них открывает путь к выполнению произвольного кода, часть ведёт к отказу в обслуживании или к раскрытию содержимого памяти. Затронута линейка версий до V6.0, исправление собрано в версии V6.0.
Уязвимости SQLite и исправление в версии V6.0
SQLite - встраиваемая база данных: она работает внутри приложения, отдельного сервера у неё нет. Поэтому ошибки в ней затрагивают сам контроллер, а не внешний сервис. Самую высокую оценку вендор дал уязвимости в служебной утилите sqldiff, которая поставляется вместе с SQLite. По шкале CVSS (общая система оценки серьёзности уязвимостей) это 9.8 из 10, уровень Critical.
Уязвимость в утилите sqldiff
Утилита запускается под Windows и неверно переводит символы Unicode (универсальный набор символов) в однобайтовую кодировку. Из-за этого специально составленная командная строка заставляет программу принять имя файла за параметр запуска. В результате подгружается сторонняя библиотека DLL (динамически подключаемая библиотека Windows), то есть исполняется чужой код. Атака идёт по сети, учётные данные не нужны, участие пользователя не требуется. Идентификатор уязвимости - CVE-2025-71316.
Переполнение буфера в расширении FTS5
Остальные уязвимости Siemens отнёс к уровню High. Часть из них связана с расширением FTS5 - модулем полнотекстового поиска внутри SQLite. Специально сформированная база данных с некорректными служебными страницами вызывает переполнение буфера в динамической памяти, то есть в области, где программа хранит временные данные.
Срабатывает это при выполнении поискового запроса. Результат - падение процесса либо исполнение чужого кода. Для такой атаки нужен локальный доступ и действие пользователя: он должен открыть подготовленную базу. Идентификатор одной из таких уязвимостей - CVE-2026-11824.
Раскрытие содержимого памяти
Другая часть уязвимостей ведёт к раскрытию памяти. Это возможно при разборе специально сформированного ZIP-архива. Ещё один вариант - запрос, в котором число агрегатных выражений превышает число доступных столбцов; значение обрезается, и память повреждается. В обоих случаях атакующий получает данные, которые приложение держало в памяти.
Обновление до V6.0
Исправление выпущено в версии V6.0, вендор рекомендует обновиться до неё или до более поздней сборки. Полный перечень затронутых сборок и порядок обновления приведены в уведомлении Siemens ProductCERT SSA-765416, которое публикует CISA. Отдельных обходных мер для этих уязвимостей вендор не приводит.
Сведений об эксплуатации в реальных атаках в уведомлении нет. Публикация технических деталей означает только то, что о проблемах стало известно; используют ли их уже, источник не сообщает. Условия доступа различаются: уязвимость в sqldiff требует сетевого доступа, а уязвимости FTS5 - локального и участия пользователя.
Контроллер применяется на объектах критической инфраструктуры по всему миру: в энергетике, на транспорте, в промышленном производстве, здравоохранении, финансовом секторе и в госучреждениях. Поэтому Siemens советует ограничить сетевой доступ к контроллерам и настраивать окружение по своим правилам промышленной безопасности. CISA рекомендует не выставлять устройства управления в интернет, ставить их за межсетевой экран и отделять от офисной сети. Удалённый доступ, если он нужен, строят через VPN (защищённый туннель), а клиентские устройства держат обновлёнными.
Основной риск связан с уязвимостью в sqldiff: она получает максимальную оценку и не требует ни учётных данных, ни действий пользователя. Закрыть её позволяет переход на V6.0.
Ссылки
