CVE-2025-64121

Podatność sklasyfikowana jako CWE-288 (Authentication Bypass Using an Alternate Path or Channel) polega na możliwości dostępu do chronionych zasobów lub funkcji systemu poprzez alternatywną ścieżkę lub kanał komunikacji, który nie wymaga prawidłowego uwierzytelnienia. Atakujący zdalnie, bez żadnych uprawnień ani interakcji ze strony użytkownika, może ominąć standardowe mechanizmy kontroli dostępu wbudowane w kontroler MSC. Exploit nie wymaga szczególnych warunków sieciowych ani uprawnień wstępnych.

Nieuwierzytelniony atakujący zdalny uzyskuje pełen dostęp do kontrolera MSC, co może prowadzić do przejęcia kontroli nad urządzeniem, manipulacji konfiguracją systemów zarządzania bateryjnymi zasobnikami energii oraz potencjalnie do zakłócenia pracy infrastruktury energetycznej. Podatność wpływa zarówno na poufność, integralność, jak i dostępność systemu oraz powiązanych komponentów.

Należy zaktualizować oprogramowanie Nuvation Energy Multi-Stack Controller (MSC) do wersji 2.5.1 lub nowszej. Szczegółowe informacje dotyczące aktualizacji dostępne są w poradniku producenta oraz w referencjach Dragos pod adresem https://www.dragos.com/community/advisories/CVE-2025-64119. Do czasu zastosowania patcha zaleca się izolację urządzeń MSC od sieci publicznych oraz ograniczenie dostępu sieciowego wyłącznie do zaufanych hostów.

Nuvation Energy Multi-Stack Controller (MSC) w wersjach od 2.3.8 do 2.5.1 (wyłącznie), obejmujący produkty: nPlatform, NuvMSC3-04S-C, NuvMSC3-08S-C, NuvMSC3-12S-C, NuvMSC3-16S-C.

Podatność dotyczy urządzeń stosowanych w przemysłowej infrastrukturze energetycznej (OT/ICS). Referencja wskazana w opisie odnosi się do poradnika Dragos (CVE-2025-64119), który może zawierać dodatkowe szczegóły techniczne.