Siemens RUGGEDCOM CROSSBOW SAC afectado por vulnerabilidades, una de ellas crítica

El fabricante Siemens ha notificado la existencia de diversas vulnerabilidades en el componente SQLite integrado en su producto RUGGEDCOM CROSSBOW Station Access Controller (SAC). Estas deficiencias, que afectan a todas las versiones del controlador anteriores a la 6.0, podrían ser explotadas por un atacante para ejecutar código arbitrario, provocar una denegación de servicio o acceder a información sensible.

Según un aviso de CISA, se han identificado cinco vulnerabilidades con identificadores CVE: CVE-2025-6965, CVE-2025-70873, CVE-2025-71316, CVE-2026-11822 y CVE-2026-11824. La de mayor severidad, CVE-2025-71316, clasificada como CRÍTICA con un CVSS base de 9.8, se relaciona con el manejo de caracteres Unicode en Windows por parte de sqldiff.exe de SQLite. Un atacante podría cargar una DLL arbitraria mediante el uso de la opción ‘-L’ y una cadena de argumento de línea de comandos manipulada.

Las demás vulnerabilidades se han catalogado con severidad ALTA, con puntuaciones CVSS entre 7.5 y 7.8. Estas incluyen errores de truncamiento numérico, divulgación de información de memoria heap, desbordamientos de búfer en heap y otras corrupciones de memoria relacionadas con la extensión de búsqueda de texto completo FTS5 de SQLite.

El RUGGEDCOM CROSSBOW Station Access Controller (SAC) es un sistema desplegado a nivel mundial en diversos sectores de infraestructura crítica, como Manufactura Crítica, Sistemas de Transporte, Energía, Salud Pública, Servicios Financieros y Servicios y Instalaciones Gubernamentales. Siemens ha lanzado la versión 6.0 o posterior de RUGGEDCOM CROSSBOW Station Access Controller (SAC) y recomienda a los usuarios actualizar sus sistemas a la última versión para aplicar las mitigaciones correspondientes.