Vulnerabilidad en AVEVA PI to CONNECT Agent expone servidores proxy a accesos no autorizados (ICSA-26-041-04)
CISA revela una falla crítica en AVEVA PI to CONNECT Agent que permite acceso no autorizado a servidores proxy, afectando entornos OT e ICS. Descubre cómo mitigar el riesgo.
Vulnerabilidad en AVEVA PI to CONNECT Agent permite acceso no autorizado a servidores proxy
La Agencia de Ciberseguridad y Seguridad de Infraestructuras de EE.UU. (CISA) ha revelado una vulnerabilidad crítica en el AVEVA PI to CONNECT Agent que podría permitir el acceso no autorizado a servidores proxy. La falla, registrada bajo el identificador ICSA-26-041-04, afecta a todas las versiones del software hasta la 2.12.1, inclusive.
Detalles técnicos
La vulnerabilidad, que no ha sido asignada a un CVE ID en el aviso, representa un riesgo significativo para las organizaciones que dependen de las soluciones industriales de AVEVA. Una explotación exitosa podría otorgar a los atacantes acceso a servidores proxy internos, lo que potencialmente facilitaría movimientos laterales adicionales o la exfiltración de datos dentro de redes comprometidas.
Versiones afectadas:
- PI to CONNECT Agent ≤2.12.1
El aviso de CISA proporciona un documento CSAF (Common Security Advisory Framework) como referencia técnica, aunque los mecanismos específicos de explotación no han sido divulgados.
Análisis de impacto
El acceso no autorizado a servidores proxy puede servir como un punto de apoyo crítico para actores de amenazas, especialmente en entornos de tecnología operativa (OT). Los atacantes podrían:
- Eludir la segmentación de red utilizando el proxy como punto de pivote.
- Interceptar o manipular el tráfico que pasa a través del proxy.
- Escalar privilegios si el proxy se integra con otros sistemas críticos.
Dado el uso generalizado de AVEVA en sistemas de control industrial (ICS), esta vulnerabilidad podría tener efectos en cascada en sectores como energía, manufactura y tratamiento de agua.
Recomendaciones
CISA insta a las organizaciones a:
- Aplicar parches o mitigaciones proporcionados por AVEVA de inmediato.
- Restringir el acceso al PI to CONNECT Agent únicamente a redes confiables.
- Monitorear los registros del servidor proxy en busca de actividad inusual, como intentos de conexión no autorizados.
- Revisar la segmentación de red para limitar el impacto potencial de una brecha.
Para más detalles, consulta el aviso oficial de CISA (ICSA-26-041-04).