CVE-2025-9962

Błąd klasy CWE-120 (klasyczny buffer overflow) polega na braku odpowiedniej walidacji rozmiaru danych wpisywanych do bufora w pamięci. Atakujący sieciowy może dostarczyć spreparowane dane przekraczające pojemność bufora, co prowadzi do nadpisania sąsiednich obszarów pamięci i przejęcia kontroli nad przepływem wykonania programu. Podatność jest dostępna bez uwierzytelnienia (PR:N, UI:N), co czyni ją szczególnie niebezpieczną dla urządzeń eksponowanych na sieć.

Atakujący może uzyskać uprawnienia root na urządzeniu HMI bez wcześniejszego uwierzytelnienia, co oznacza pełne przejęcie kontroli nad urządzeniem — w tym możliwość modyfikacji konfiguracji, zakłócenia procesów przemysłowych oraz dalszego ruchu lateral movement w sieci OT/ICS.

Należy zaktualizować oprogramowanie układowe do wersji P-2.0.05 Build 2026.02.06 (commit d0f97fd9) lub nowszej, zgodnie z oficjalnym Security Advisory producenta Novakon dostępnym pod adresem wskazanym w referencjach. Do czasu aktualizacji zaleca się izolację urządzeń HMI od sieci publicznych oraz ograniczenie dostępu sieciowego wyłącznie do zaufanych hostów za pomocą firewall.

Novakon P Series HMI — wersje oprogramowania układowego od P – V2001.A.C518o2 do P-2.0.05 Build 2026.02.06 (commit d0f97fd9), z wyłączeniem.

Podatność została ujawniona przez badaczy z CyberDanube Security Research i opublikowana na liście Full Disclosure (seclists.org). Dotyczy urządzeń HMI stosowanych w środowiskach przemysłowych (OT/ICS), co podwyższa potencjalny wpływ na bezpieczeństwo procesów fizycznych.