CVE-2025-64691

Podatność sklasyfikowana jako CWE-94 (Code Injection) pozwala uwierzytelnionemu, ale nieuprzywilejowanemu użytkownikowi systemu operacyjnego na modyfikację skryptów TCL Macro w aplikacji. Zmanipulowane skrypty są następnie wykonywane w kontekście wyższych uprawnień, co prowadzi do eskalacji uprawnień z poziomu zwykłego użytkownika OS do poziomu systemowego (OS system). Wektor ataku jest lokalny, nie wymaga interakcji użytkownika ani szczególnych warunków wstępnych poza posiadaniem standardowego konta OS.

Atakujący może uzyskać uprawnienia systemowe na hoście, co skutkuje całkowitym przejęciem serwera aplikacji modelu (model application server), w tym pełną kontrolą nad danymi, konfiguracją oraz procesami przemysłowymi obsługiwanymi przez aplikację.

Należy zastosować patche dostępne u producenta zgodnie z referencjami (portal wsparcia Aveva: softwaresupportsp.aveva.com oraz strona aktualizacji bezpieczeństwa aveva.com). Zalecane jest również ograniczenie dostępu lokalnego do systemu wyłącznie do zaufanych, niezbędnych kont użytkowników oraz monitorowanie zmian w skryptach TCL Macro.

Aveva Process Optimization — wersje wskazane w referencjach producenta

Podatność dotyczy środowisk OT (Operational Technology) — serwer aplikacji modelu może być powiązany z infrastrukturą przemysłową. Advisory opublikowane przez CISA jako ICS Advisory ICSA-26-015-01.