Ferramentas Web de Engenharia Valmet DNA Vulneráveis a Ataque de Travessia de Caminho (CVE Pendente)

Ferramentas Web de Engenharia Valmet DNA Afetadas por Vulnerabilidade de Travessia de Caminho

Madrid, Espanha – 20 de fevereiro de 2026 – O INCIBE-CERT emitiu um comunicado sobre uma vulnerabilidade de travessia de caminho (path traversal) nas Ferramentas Web de Engenharia Valmet DNA, um conjunto de softwares utilizado para automação e controle de processos industriais. A falha, que ainda não possui um identificador CVE, permite acesso não autorizado a diretórios restritos, podendo expor arquivos sensíveis do sistema.

Detalhes Técnicos

A vulnerabilidade decorre de uma limitação incorreta dos controles de acesso a diretórios na interface web das Ferramentas de Engenharia Valmet DNA. Atacantes com acesso à rede do sistema afetado poderiam explorar essa falha para navegar por diretórios fora do caminho restrito pretendido, acessando potencialmente arquivos de configuração, credenciais ou outros dados críticos.

• Software Afetado: Ferramentas Web de Engenharia Valmet DNA
• Tipo de Vulnerabilidade: Travessia de Caminho (Path Traversal, CWE-22)
• Impacto: Acesso não autorizado a diretórios, potencial exposição de dados
• Pontuação CVSS: Pendente (provavelmente de alta gravidade)
• Status do Patch: Ainda não disponível

Análise de Impacto

Sistemas de controle industrial (ICS), como as Ferramentas de Engenharia Valmet DNA, são críticos para operações em setores como produção de celulose, papel e energia. Uma exploração bem-sucedida dessa vulnerabilidade pode levar a:

• Acesso não autorizado a dados operacionais sensíveis
• Interrupção de processos industriais caso arquivos de configuração sejam alterados
• Movimentação lateral na rede se credenciais forem expostas

Dado que o software é implantado em ambientes de Tecnologia Operacional (OT), o risco vai além da exposição de dados, podendo resultar em consequências físicas, como danos a equipamentos ou incidentes de segurança.

Recomendações para Equipes de Segurança

O INCIBE-CERT e a Valmet ainda não lançaram um patch, mas organizações que utilizam o software afetado devem:

1. Restringir o Acesso à Rede

   • Limitar a exposição da interface web das Ferramentas de Engenharia DNA a redes confiáveis.
   • Implementar regras de firewall para bloquear acessos não autorizados à porta da interface web.

2. Monitorar Atividades Suspeitas

   • Implantar sistemas de detecção/prevenção de intrusões (IDS/IPS) para identificar tentativas de travessia de caminho.
   • Revisar logs em busca de padrões de acesso incomuns a diretórios restritos.

3. Aplicar Medidas de Defesa em Profundidade

   • Segmentar redes OT de redes corporativas de TI para conter possíveis violações.
   • Aplicar o princípio do menor privilégio para usuários que interagem com o sistema.

4. Preparar-se para a Aplicação de Patches

   • Monitorar os canais oficiais da Valmet para atualizações de segurança e aplicá-las imediatamente após o lançamento.
   • Testar patches em um ambiente não produtivo antes da implantação para evitar interrupções operacionais.

Próximos Passos

O INCIBE-CERT atualizará seu comunicado à medida que mais informações estiverem disponíveis, incluindo um identificador CVE e detalhes sobre o patch. Organizações que dependem das Ferramentas de Engenharia Valmet DNA devem tratar essa questão como de alta prioridade e implementar mitigações até que uma correção seja fornecida.

Para mais detalhes, consulte o comunicado original no site do INCIBE-CERT.