CVE-2025-61937

Błąd sklasyfikowany jako CWE-94 (Code Injection) pozwala napastnikowi na wstrzyknięcie i wykonanie złośliwego kodu bez konieczności uwierzytelnienia. Atak jest możliwy zdalnie, przez sieć, bez żadnej interakcji ze strony użytkownika ani szczególnych warunków konfiguracyjnych. Wykonany kod działa w kontekście uprawnień usługi systemowej 'taoimr', co zapewnia atakującemu wysoki poziom dostępu do systemu operacyjnego.

Atakujący może uzyskać pełną kontrolę nad serwerem aplikacji modelu, w tym możliwość odczytu, modyfikacji i usunięcia danych oraz instalacji złośliwego oprogramowania. Według wektora CVSS wpływ obejmuje kompromitację poufności, integralności i dostępności zarówno systemu docelowego, jak i systemów z nim powiązanych.

Należy zastosować patche dostępne u producenta zgodnie z referencjami — aktualizacje dostępne poprzez portal wsparcia Aveva (softwaresupportsp.aveva.com) oraz stronę aktualizacji cyberbezpieczeństwa Aveva. Zaleca się odizolowanie serwerów Aveva Process Optimization od sieci niezaufanych do czasu zastosowania poprawki oraz monitorowanie ruchu sieciowego kierowanego do usługi 'taoimr'.

Aveva Process Optimization — wersje wskazane w referencjach producenta (doradztwo CISA ICS: ICSA-26-015-01 oraz strona wsparcia Aveva).

Podatność dotyczy środowisk OT (Operational Technology) — doradztwo zostało wydane przez CISA w ramach serii ICS-CERT (ICSA-26-015-01), co wskazuje na szczególne znaczenie dla infrastruktury przemysłowej i systemów sterowania procesami.