Vulnerabilidad de alta severidad detectada en Siemens PSS(R)SINCAL

Una vulnerabilidad de escritura fuera de límites (out-of-bounds write), identificada como CVE-2026-84854 y clasificada con una severidad ALTA (CVSS 3.1 Base Score: 7.0), ha sido detectada en el driver de WibuKey, un componente de terceros utilizado por el software PSS(R)SINCAL de Siemens. Este fallo es relevante para las versiones V21.5, V22.0 y V22.5 (anteriores a V22.5 Update 5) del producto, y afecta específicamente a las instalaciones configuradas para utilizar el tipo de licencia de dongle WibuKey heredado.

La debilidad reside en la validación insuficiente de la entrada de usuario al calcular el tamaño de un búfer del kernel dentro del driver de WibuKey. Esta deficiencia podría permitir que pequeñas cantidades de datos se escriban fuera del búfer de memoria previsto, lo que resultaría en una caída del sistema y, consecuentemente, en una condición de denegación de servicio (DoS). Bajo ciertas circunstancias desfavorables, también existe la posibilidad de que se modifique la memoria adyacente del kernel.

Siemens ProductCERT ha reportado esta vulnerabilidad a CISA, entidad que ha republicado el aviso, confirmando el impacto de PSS(R)SINCAL en sectores de infraestructura crítica a nivel mundial. Entre ellos se incluyen la Manufactura Crítica, Sistemas de Transporte, Energía, Salud Pública, Servicios Financieros y Servicios y Facilidades Gubernamentales.

Para las versiones PSS(R)SINCAL V21.5 y V22.0, Siemens recomienda la instalación manual de WIBU Systems WibuKey Runtime para Windows 6.72 o una versión posterior como mitigación provisional, dado que los parches directos de Siemens están en preparación. Los usuarios de PSS(R)SINCAL V22.5 (versiones anteriores a la Update 5) deben actualizar a la versión V22.5 Update 5 o superior. Además, se enfatiza la importancia de proteger el acceso a la red mediante mecanismos como firewalls, segmentación y VPN, y de validar las actualizaciones de seguridad en entornos controlados antes de su despliegue general.