Identificado fallo en la gestión de contraseñas de Rockwell Automation OTTO Fleet Manager

La Agencia de Ciberseguridad e Infraestructura (CISA) ha emitido una advertencia sobre una vulnerabilidad de seguridad que afecta a Rockwell Automation OTTO Fleet Manager, un producto utilizado en sectores como la fabricación crítica y los sistemas de transporte a nivel global. El fallo, identificado como CVE-2026-75112, reside en el uso de un factor de trabajo insuficiente en la implementación del algoritmo de hash de contraseñas bcrypt, una configuración que debilita la protección de las credenciales almacenadas.

En concreto, la vulnerabilidad podría ser explotada por un atacante para reducir significativamente el esfuerzo computacional necesario para llevar a cabo ataques de fuerza bruta offline contra los hashes de contraseñas. Esto sería posible si el atacante consigue acceder a una copia de seguridad del sistema que no esté cifrada.

Según la advertencia de CISA, la vulnerabilidad se aplica a todas las versiones de Rockwell Automation OTTO Fleet Manager hasta la 2.36.2 incluida. Ha sido clasificada con una severidad MEDIA, con puntuaciones CVSS de 6.8 (versión 3.1) y 6.9 (versión 4.0). Es importante destacar que no se ha reportado ninguna explotación pública conocida de este fallo hasta la fecha, y la vulnerabilidad no es explotable de forma remota.

Rockwell Automation ha lanzado la versión de software 2.36.3, que aborda este problema de seguridad. Se recomienda a los usuarios de las versiones afectadas que actualicen a esta nueva versión. Para aquellos que no puedan actualizar de inmediato, se sugiere implementar las mejores prácticas de seguridad de Rockwell Automation y habilitar la copia de seguridad cifrada del sistema, como se detalla en el aviso de seguridad SD1791 del fabricante.