CVE-2025-61943

Uwierzytelniony użytkownik aplikacji (Standard User) może wstrzykiwać złośliwe dane do zapytań kierowanych do komponentu Captive Historian, wykorzystując lukę w walidacji danych wejściowych. Zmanipulowane zapytania SQL są wykonywane w kontekście konta administratora SQL Server. Dzięki temu atakujący może wykonywać dowolne polecenia na poziomie uprzywilejowanego konta bazy danych, co klasyfikuje podatność jako RCE.

Atakujący może uzyskać pełną kontrolę nad instancją SQL Server, w tym możliwość odczytu, modyfikacji i usuwania danych, a także wykonywania poleceń systemowych za pośrednictwem mechanizmów bazy danych (np. xp_cmdshell). Skutkiem może być całkowite przejęcie serwera bazodanowego oraz danych procesowych.

Należy zastosować patche dostępne u producenta zgodnie z referencjami — aktualizacja opisana w portalu wsparcia Aveva (softwaresupportsp.aveva.com) oraz w advisory CISA ICSA-26-015-01. Zaleca się ograniczenie dostępu do komponentu Captive Historian wyłącznie do zaufanych użytkowników oraz monitorowanie aktywności kont SQL Server.

Aveva Process Optimization (wersje wskazane w referencjach producenta — advisory ICSA-26-015-01)

Podatność dotyczy systemu OT (technologii operacyjnych) — advisory opublikowane przez CISA w ramach serii ICS-CERT (ICSA-26-015-01). Podatność wymaga uwierzytelnienia jako użytkownik o roli Process Optimization Standard User.