Vulnerabilidad de lectura fuera de límites en Siemens Capital Embedded AR Classic

Una vulnerabilidad de seguridad ha sido detectada en múltiples versiones del software Siemens Capital Embedded AR Classic, según una alerta de CISA Advisories [https://www.cisa.gov/news-events/ics-advisories/icsa-26-295-04]. La debilidad, identificada como CVE-2026-89208, es un tipo de error de lectura fuera de límites (out-of-bounds read). Esta condición podría permitir a un atacante no autenticado y remoto provocar lecturas de memoria fuera de los límites de los paquetes de datos esperados.

Las versiones afectadas incluyen Capital Embedded AR Classic 431-422 en todas sus variantes y Capital Embedded AR Classic R20-11 en versiones anteriores a V2303. La explotación de esta vulnerabilidad se ha clasificado con una Base Severity MEDIUM (CVSS v3.1 de 5.3), y podría resultar en un comportamiento anómalo del producto, inestabilidad o, en el peor de los casos, la denegación de servicio.

Siemens ha publicado una actualización para Capital Embedded AR Classic R20-11, recomendando a los usuarios instalar la versión V2303 o posterior. Sin embargo, para la línea de producto Capital Embedded AR Classic 431-422, actualmente no se ha planificado ninguna corrección directa. En este último caso, así como para otras instancias donde las actualizaciones no estén disponibles de inmediato, Siemens recomienda aplicar contramedidas específicas.

Las principales medidas de mitigación sugeridas por el fabricante y CISA incluyen la segmentación de la red y el despliegue de las Unidades de Control Electrónico (ECU) detrás de cortafuegos o pasarelas adecuadamente configuradas. Dada la presencia de estos sistemas en sectores de infraestructura crítica como la manufactura, sistemas de transporte, energía, salud pública y servicios financieros a nivel global, la gestión proactiva de esta vulnerabilidad es crucial para mantener la integridad operativa.