Tre zero-day in catena su switch Siemens: da xz utility a accesso root

I ricercatori di Palo Alto Networks Unit 42 hanno pubblicato l'analisi di una catena di tre vulnerabilità zero-day nei sistemi operativi Siemens RUGGEDCOM ROX II. La sequenza richiede autenticazione iniziale con privilegi elevati, trasforma un'utility Linux di compressione in un vettore di ricognizione privilegiata e culmina in esecuzione persistente di codice come root, ribaltando lo switch da dispositivo di sicurezza di rete a piattaforma per attività malevole.

Come xz diventa un canale di ricognizione privilegiata

Il primo anello della catena, CVE-2025-40948, sfrutta un'implementazione non sicura dell'utility xz nel contesto di un demone con privilegi root. Secondo l'analisi di Unit 42, il demone esegue xz passando parametri controllabili dall'utente. La combinazione dei flag -f -c -d trasforma xz in un equivalente di cat, consentendo la lettura del contenuto di qualsiasi file sul filesystem con credenziali di root.

Il record CVE ufficiale e l'advisory Siemens SSA-973901 classificano la vulnerabilità con CVSS 3.1 6.8 (Medium-High) e la mappano su CWE-88 (Argument Injection). La gravità contenuta del punteggio nasconde la funzione strategica del flaw: l'arbitrary file disclosure è il primo gradino di una scala che non richiede capacità di exploit sofisticate, ma solo conoscenza dei parametri di un'utility standard.

Da feature key validation a shell root

Il secondo anello, CVE-2025-40947, risiede nel meccanismo di validazione delle feature key — i codici che abilitano funzionalità aggiuntive sui dispositivi RUGGEDCOM. Unit 42 ha effettuato reverse-engineering di questo processo e identificato una sanitizzazione mancante su input attacker-controlled che viene incorporato in un comando eseguito con privilegi root.

"By reverse-engineering this feature, we discovered a way to exploit its internal logic and gain root access" — Palo Alto Networks Unit 42, analisi CVE-2025-40947

L'advisory Siemens SSA-078743 conferma command injection con conseguente accesso root diretto, assegnando CVSS 3.1 7.5 (High) e mappando il flaw su CWE-78 (OS Command Injection). Il vettore richiede privilegi limitati (PR:L) ma sfrutta condizioni complesse (AC:H), rendendo l'exploit meno immediato del successivo CVE-2025-40949 ma comunque deterministico una volta ricostruita la logica di validazione.

Persistenza via Scheduler: il CVSS 9.1 che completa la catena

Il terzo e più grave anello, CVE-2025-40949, è la conseguenza dei due precedenti. Con accesso root acquisito, l'attaccante sfrutta improper input sanitization nel task scheduler dell'interfaccia web per iniettare comandi nella cron table di root. Il risultato è persistenza attraverso i riavvii del dispositivo — una compromissione che sopravvive alla manutenzione ordinaria.

Il record CVE ufficiale per CVE-2025-40949 riporta CVSS 3.1 9.1 (Critical) con vettore AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H, e CVSS 4.0 8.9 (High). L'advisory Siemens SSA-081142 e le analisi di Unit 42 convergono sui medesimi parametri. La componente S:C (Scope Changed) indica che la compromissione del dispositivo espande il perimetro d'attacco alla rete industriale sottostante.

Unit 42 documenta che questa persistenza "allows for ongoing malicious activity, such as data exfiltration or denial-of-service attacks, making the compromise difficult to detect or remove". La difficoltà di rilevamento deriva dalla natura legittima del meccanismo cron su sistemi embedded.

Cosa fare adesso

• Aggiornare immediatamente alla versione firmware V2.17.1, unica versione che risolve tutte e tre le vulnerabilità secondo le advisory Siemens SSA-973901, SSA-078743 e SSA-081142
• Verificare l'inventario dei dispositivi RUGGEDCOM ROX II: la lista dei modelli affetti comprende MX5000, MX5000RE, RX1400, RX1500, RX1501, RX1510, RX1511, RX1512, RX1524, RX1536 e RX5000, tutti con firmware precedente a V2.17.1

Limiti della ricerca e contesto

Il dossier non documenta exploitation attiva in-the-wild. La fonte non specifica come l'attaccante ottenga le credenziali iniziali richieste dai vettori PR:H e PR:L. La ricerca si basa sull'analisi Unit 42 e sulle advisory vendor Siemens; non sono disponibili conferme indipendenti su exploitation in-the-wild.

Unit 42 afferma che queste vulnerabilità "could collectively transform a vital network security device into a platform for malicious activity, severely threatening the integrity and availability of the industrial network". Questa valutazione descrive il rischio potenziale della catena, non un evento documentato.

La fonte non specifica se esistano mitigazioni alternative oltre all'aggiornamento firmware. La fonte non specifica indicatori di compromissione specifici per queste vulnerabilità.

Analisi del redattore

La catena CVE-2025-40948 → CVE-2025-40947 → CVE-2025-40949 illustra un pattern ricorrente nella sicurezza OT: la combinazione di flaw individualmente moderati in un percorso di compromissione sistemica. Il requisito di autenticazione iniziale (PR:H per il flaw più grave) limita la superficie di attacco ma non la severità post-compromissione.

I dispositivi RUGGEDCOM ROX II sono tipicamente deployati in ambienti dove la disponibilità della rete è prioritaria rispetto alla frequenza degli aggiornamenti. Questa tensione operativa rende la gestione del firmware V2.17.1 un test di processo più che di tecnologia.

La collaborazione tra Palo Alto Networks Unit 42 e Siemens ProductCERT nel disclosure coordinato rappresenta il flusso di lavoro standard per vulnerabilità OT critiche, ma non garantisce che tutti i dispositivi affetti ricevano tempestivamente la patch.

Fonti: Palo Alto Networks Unit 42 — Siemens ROX II Zero-Day Vulnerabilities; CVE Program — CVE-2025-40949; Siemens ProductCERT — Advisory SSA-973901 (CVE-2025-40948), SSA-078743 (CVE-2025-40947), SSA-081142 (CVE-2025-40949)