Tre zero-day in catena su Siemens ROX II: dal file leak al…

Unit 42 e Siemens hanno divulgato tre zero-day nei switch OT ROX II. La catena permette disclosure di file, privilege escalation e persistenza root con CVSS fino a 9.1.

Unit 42, il laboratorio di ricerca sulle minacce OT di Palo Alto Networks, ha divulgato il 17 luglio 2026 una catena di tre zero-day nei switch industriali Siemens RUGGEDCOM ROX II. La disclosure coordinata con Siemens ha prodotto tre advisory vendor separati — un caso eccezionale nel settore OT, dove la frammentazione delle responsabilità spesso rallenta la messa in sicurezza.

Le vulnerabilità, documentate come CVE-2025-40948, CVE-2025-40947 e CVE-2025-40949, permettono a un attaccante autenticato di passare dalla lettura arbitraria di file a un accesso root persistente. Non è noto se la catena sia stata sfruttata in-the-wild prima della pubblicazione. Il firmware di fix è la versione V2.17.1.

Punti chiave

Unit 42 ha scoperto tre zero-day nei switch OT Siemens ROX II in partnership con Siemens, con disclosure responsabile e tre advisory vendor (SSA-973901, SSA-078743, SSA-081142).
CVE-2025-40948 (CVSS 6.8) permette la disclosure arbitraria di file via xz utility con privilegi root.
CVE-2025-40947 (CVSS 7.5) consente esecuzione di comandi con privilegi root tramite command injection nella validazione delle feature key.
CVE-2025-40949 (CVSS 9.1) garantisce persistenza via OS command injection nel task scheduler web, con sopravvivenza ai riavvii.
Il fix ufficiale è il firmware V2.17.1, applicabile a 11 famiglie di prodotti RUGGEDCOM ROX.

Come funziona la catena: da xz al cron table di root

Il primo anello, CVE-2025-40948, sfrutta una configurazione insicura dell'utilità xz che esegue con privilegi root. Unit 42 descrive come l'attaccante autenticato possa utilizzare i parametri -f -c -d — funzionalità legittime del tool — per leggere qualsiasi file sul filesystem. La vector string ufficiale registra un impatto riservato alla confidenzialità (C:H), con scope cambiato (S:C) per via della segmentazione di rete tipica degli ambienti OT.

Il secondo stadio, CVE-2025-40947, si attiva nella funzione di validazione delle feature key. Qui manca una sanificazione degli input che permette l'iniezione di comandi eseguiti con privilegi root. Il CVSS 7.5 riflette una complessità di attacco elevata (AC:H) ma, una volta superata, l'impatto è totale su integrità e disponibilità.

Il terzo anello, CVE-2025-40949, è quello critico con CVSS 9.1. Il task scheduler del web management accetta input non sanificati che finiscono nella cron table di root. Il risultato è una persistenza che sopravvive ai riavvii, trasformando il dispositivo di rete in una piattaforma di attacco stabile all'interno della segmentazione OT.

I numeri ufficiali: scoring e prodotti coinvolti

Il record CVE.org per CVE-2025-40949 conferma lo scoring più severo della catena: 9.1 in CVSS 3.1 (CRITICAL) e 8.9 in CVSS 4.0 (HIGH). La vector string 3.1 documenta accesso di rete (AV:N), complessità bassa (AC:L), privilegi elevati richiesti (PR:H), nessuna interazione utente (UI:N) e scope cambiato (S:C) con impatto totale su confidenzialità, integrità e disponibilità.

Secondo lo stesso record ufficiale, le 11 famiglie di prodotti affetti includono RUGGEDCOM ROX MX5000, MX5000RE, RX1400, RX1500, RX1501, RX1510, RX1511, RX1512, RX1524, RX1536 e RX5000. Tutte le versioni firmware precedenti alla V2.17.1 sono vulnerabili. Gli advisory Siemens specificano le stesse CWE per i due stadi attivi: CWE-78 (OS Command Injection) per CVE-2025-40947 e CVE-2025-40949, mentre CVE-2025-40948 ricade su CWE-88 (Argument Injection or Modification).

"Successful exploitation of this chain would allow an attacker to achieve full privilege escalation and persistent root-level access on these devices, which are critical components of industrial control networks." — Unit 42, Palo Alto Networks

La disclosure coordinata: un modello raro in OT

I ricercatori Emmanuel Zhou, Rick Wyble, Mehemt Balta e Adam Robbie hanno condotto l'analisi tecnica diretta sul firmware, mentre Siemens ha emesso advisory separati per ciascuna vulnerabilità. Questo modello — ricerca indipendente su dispositivi proprietari condivisa con il vendor prima della pubblicazione — rimane eccezionale nel settore OT.

Unit 42 afferma esplicitamente: "We conducted this research in close partnership with Siemens, reflecting our shared commitment to advancing the security and resilience of critical infrastructure." La documentazione di una catena completa con scoring, CWE, vettori e fix specifico offre agli operatori OT gli elementi per una valutazione del rischio informata.

Cosa fare adesso

Gli operatori che gestiscono dispositivi RUGGEDCOM ROX II devono verificare la versione firmware installata. L'aggiornamento a V2.17.1 è l'unica contromisura documentata negli advisory Siemens. Considerata la natura dei dispositivi — componenti di segmentazione in reti energetiche, dei trasporti e sanitarie — la pianificazione dell'aggiornamento richiede la consueta finestra di manutenzione OT.

Non è noto se la catena sia stata sfruttata in-the-wild. Gli operatori che non possono aggiornare immediatamente devono valutare il rischio sulla base della propria architettura di rete e della criticità dei dispositivi coinvolti.

Analisi: il punto di vista di DeafNews

La segmentazione di rete è spesso presentata come pilastro della difesa OT. La nostra valutazione editoriale è che questa catena metta in luce un limite strutturale: quando il dispositivo di confine stesso è compromesso, la segmentazione diventa una rappresentazione grafica piuttosto che una barriera effettiva. Il giudizio è del redazione, non un dato tecnico verificato.

L'eccezionalità della disclosure coordinata — tre advisory separati per una catena unica — merita attenzione. Nel settore OT, dove i vincoli di disponibilità spesso ritardano mesi la messa in sicurezza, la pubblicazione congiunta di ricercatori e vendor offre un modello replicabile. La nostra valutazione è che questo approccio aumenti la pressione sugli altri vendor a adottare pratiche simili.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti