CVE-2025-64120

Podatność wynika z nieprawidłowej neutralizacji znaków specjalnych przekazywanych do poleceń systemu operacyjnego (CWE-78). Aplikacja zarządzająca urządzeniem nie filtruje właściwie danych wejściowych dostarczanych przez użytkownika, co pozwala na osadzenie w nich dodatkowych poleceń powłoki. Atakujący z podstawowymi uprawnieniami (PR:L) może wysłać spreparowane żądanie sieciowe i spowodować, że system wykona dostarczone polecenia z uprawnieniami procesu aplikacji.

Pomyślne wykorzystanie podatności może pozwolić atakującemu na przejęcie pełnej kontroli nad urządzeniem, kradzież danych konfiguracyjnych i operacyjnych, zakłócenie pracy instalacji magazynowania energii oraz potencjalne oddziaływanie na systemy połączone z kontrolerem MSC.

Należy zaktualizować oprogramowanie Multi-Stack Controller (MSC) do wersji 2.5.1 lub nowszej. W przypadku braku możliwości natychmiastowej aktualizacji zaleca się izolację urządzeń MSC od sieci publicznych oraz ograniczenie dostępu wyłącznie do zaufanych hostów za pomocą firewall lub sieci VLAN. Szczegółowe informacje dostępne w poradniku producenta pod adresem wskazanym w referencjach.

Nuvation Energy Multi-Stack Controller (MSC) w wersjach od 2.3.8 do 2.5.1 (wyłącznie), obsługiwany przez platformę nPlatform na urządzeniach: NuvMSC3-04S-C, NuvMSC3-08S-C, NuvMSC3-12S-C, NuvMSC3-16S-C.

Poradnik bezpieczeństwa opublikowany we współpracy z firmą Dragos (referencja: dragos.com/community/advisories/CVE-2025-64119). Wektor CVSS wskazuje parametr AU:Y (automatyzacja ataku jest możliwa) oraz S:P (wpływ na bezpieczeństwo systemów dostawcy), co podkreśla ryzyko dla środowisk przemysłowych OT/ICS związanych z magazynowaniem energii.