Siemens Ruggedcom ROX è colpito da una vulnerabilità di lettura file autenticata nella sua interfaccia JSON-RPC
Un avviso Siemens ripubblicato da CISA identifica CVE-2025-40948, una debolezza lato server che potrebbe consentire a un attaccante remoto autenticato di leggere file arbitrari dal sistema operativo sottostante sui dispositivi industriali interessati.
Introduzione
Le apparecchiature di rete industriale sono spesso considerate semplice infrastruttura di supporto, ma le loro interfacce di gestione possono custodire le chiavi dell’intero ambiente. Ecco perché una vulnerabilità nella linea Ruggedcom ROX di Siemens conta anche senza una segnalazione di esecuzione di codice remoto o di compromissione di massa: se un attaccante autenticato può leggere file con privilegi di root, il dispositivo potrebbe iniziare a rivelare i dettagli che rendono difendibile una rete OT.
Fatti rapidi
- CVE-2025-40948 interessa i dispositivi Siemens Ruggedcom ROX e prende di mira l’interfaccia JSON-RPC del server web.
- La falla potrebbe consentire a un attaccante remoto autenticato di leggere file arbitrari dal filesystem del sistema operativo sottostante con privilegi di root.
- La debolezza è classificata come CWE-88, ovvero neutralizzazione impropria dei delimitatori degli argomenti in un comando.
- Siemens afferma che i prodotti interessati devono essere aggiornati alla versione V2.17.1 o successiva.
- L’avviso riporta un punteggio base CVSS v3.1 di 6,8, classificato come Medio.
Corpo
La forma tecnica di questo problema è importante. JSON-RPC è solo un formato di messaggi e un modello di richiesta; di per sé non è intrinsecamente pericoloso. Il rischio emerge quando un dispositivo accetta parametri controllati dall’attaccante senza validarli in modo sufficientemente rigoroso. In questo caso, Siemens e CISA descrivono una debolezza del piano di gestione nel server web, non un difetto del protocollo JSON-RPC in sé.
Questa distinzione conta perché gli apparati industriali spesso memorizzano più della normale configurazione. Un percorso di lettura file con privilegi di root può esporre credenziali, certificati, log, impostazioni del dispositivo o dettagli di rete, a seconda di ciò che è presente sull’apparato. Anche se l’esito diretto è “solo” una divulgazione, negli ambienti OT tale divulgazione può supportare attività successive rivelando come è costruita la rete e come è protetta.
L’etichetta CWE-88 dell’avviso punta a una classe di errori di programmazione ben nota: l’input non attendibile non è stato neutralizzato in modo da impedire una gestione sicura degli argomenti. Dal punto di vista difensivo, ciò significa di solito che devono essere vere due condizioni contemporaneamente perché il rischio reale cresca: l’interfaccia di gestione deve essere raggiungibile e l’attaccante deve già disporre di un’autenticazione valida. Questo lascia comunque ai difensori un problema serio, perché l’accesso amministrativo valido su infrastrutture esposte è spesso più facile da ottenere di quanto gli operatori si aspettino.
La risposta pratica è semplice. Siemens raccomanda l’aggiornamento alla versione V2.17.1 o successiva, e la guida di CISA per i sistemi di controllo continua a sottolineare l’importanza di limitare l’esposizione della gestione, segmentare gli asset OT dalle reti aziendali e collocare l’accesso remoto dietro confini strettamente controllati. In ambienti come questi, la correzione è necessaria, ma raramente è sufficiente da sola.
Al momento della stesura, la lettura più prudente è ristretta e tecnica: si tratta di una falla di divulgazione di file con privilegi elevati in un’interfaccia di gestione industriale, non di un’affermazione generale secondo cui l’intera famiglia di dispositivi sarebbe completamente compromessa. La lezione più ampia è che i difensori OT dovrebbero trattare le API amministrative come superfici d’attacco di alto valore, perché anche un singolo primitivo di lettura può comunque consegnare all’intruso il materiale di cui ha bisogno per il passo successivo.
Conclusione
Valutazioni di gravità media possono nascondere un rischio operativo sproporzionato quando la debolezza si trova all’interno di un dispositivo che gestisce infrastrutture critiche. La vera lezione qui non è che ogni prodotto industriale sia difettoso, ma che le interfacce privilegiate meritano la stessa disciplina di hardening, controllo degli accessi e monitoraggio di qualsiasi servizio esposto a Internet.
TECHCROOK
Firewall appliance: Utile negli ambienti che necessitano di una separazione più rigorosa tra reti ufficio e reti industriali, un firewall appliance dedicato può aiutare a creare zone distinte, limitare il traffico di gestione e definire regole esplicite per l’accesso remoto. È un controllo pratico e generico per ridurre l’esposizione non necessaria di dispositivi e servizi sensibili.
WIKICROOK
- JSON-RPC: Un formato leggero di remote procedure call che utilizza oggetti JSON per trasportare metodi e parametri.
- CWE-88: Una classe di vulnerabilità che coinvolge una gestione impropria dei delimitatori degli argomenti, con possibile injection di argomenti.
- Privilegi di root: Il livello più elevato di autorizzazione del sistema operativo, che consente ampio accesso ai file locali e alle funzioni di sistema.
- Piano di gestione: L’interfaccia amministrativa usata per configurare, monitorare e mantenere un dispositivo.
- Segmentazione OT: Separazione degli asset di tecnologia operativa dalle reti aziendali generali per ridurre la capacità di azione dell’attaccante.
