CVE-2025-65118

Podatność wynika z niekontrolowanej ścieżki wyszukiwania bibliotek lub komponentów (CWE-427, uncontrolled search path element). Atakujący posiadający standardowe uprawnienia systemowe może podrzucić złośliwą bibliotekę lub plik wykonywalny w lokalizację przeszukiwaną przez usługi Process Optimization podczas uruchamiania lub działania. Usługa ładuje podstawiony kod w kontekście wysoce uprzywilejowanego konta OS System, co prowadzi do privilege escalation.

Atakujący może uzyskać uprawnienia OS System i całkowicie skompromitować Model Application Server, uzyskując pełną kontrolę nad przetwarzanymi danymi procesowymi oraz infrastrukturą OT.

Należy zastosować patche dostępne u producenta zgodnie z referencjami (portal wsparcia AVEVA: https://softwaresupportsp.aveva.com oraz strona aktualizacji bezpieczeństwa https://www.aveva.com/en/support-and-success/cyber-security-updates/). Zaleca się również ograniczenie lokalnego dostępu do systemów z zainstalowanym oprogramowaniem wyłącznie do zaufanych użytkowników oraz monitorowanie katalogów wyszukiwania bibliotek pod kątem nieautoryzowanych modyfikacji.

Aveva Process Optimization — wersje wskazane w referencjach producenta

Podatność dotyczy środowisk OT (Operational Technology). Advisory opublikowane przez CISA jako ICS Advisory ICSA-26-015-01. Atak wymaga lokalnego dostępu z uprawnieniami standardowego użytkownika OS, co ogranicza wektor ataku, jednak w środowiskach przemysłowych eskalacja do OS System i przejęcie Model Application Server stanowi poważne zagrożenie dla ciągłości procesów.