Rockwell risolve quattro vulnerabilità ad alta gravità che consentono l’esecuzione di codice in Arena Simulation

Rockwell Automation ha rilasciato un aggiornamento per quattro vulnerabilità ad alta gravità nel software Arena Simulation. Secondo gli avvisi di Rockwell e della Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti, le falle potrebbero consentire l’esecuzione arbitraria di codice quando un utente apre un file di esperimento o modello Arena appositamente creato.

Arena viene utilizzato per creare simulazioni a eventi discreti dei processi operativi. Le organizzazioni possono modellare i flussi di lavoro, testare le modifiche proposte e individuare potenziali problemi prima di modificare gli ambienti di produzione. Sebbene il software non gestisca direttamente apparecchiature di controllo industriale, può essere implementato in ambienti connessi a reti aziendali o di tecnologia operativa più ampie.

File dannosi necessari

Le vulnerabilità sono tracciate come CVE-2026-8085, CVE-2026-8312, CVE-2026-8313 e CVE-2026-8314. Sono dovute a corruzione della memoria causata da una convalida insufficiente dei dati forniti dall’utente, con conseguenti potenziali scritture oltre i limiti. Lo sfruttamento riuscito potrebbe consentire l’esecuzione di codice con i privilegi del processo Arena.

I problemi riguardano Arena versione 17.00.00 e precedenti. Rockwell li ha risolti nella versione 17.00.01. Lo sfruttamento non è possibile da remoto in modo autonomo: un aggressore dovrebbe prima convincere un utente preso di mira ad aprire un file dannoso.

Il ricercatore Michael Heinzl, che ha segnalato i problemi, ha affermato che i file Arena vengono comunemente scambiati e aperti durante le normali attività lavorative, rendendo potenzialmente difficile distinguere un documento armato da un progetto legittimo. Le possibili conseguenze dipenderebbero dai privilegi dell’account assegnati ad Arena e dalla segmentazione della rete dell’organizzazione. Un intruso che riuscisse a ottenere l’esecuzione di codice potrebbe potenzialmente utilizzare la workstation compromessa come punto di appoggio, sebbene l’accesso ulteriore non sarebbe automatico.

Divulgazione più ampia delle vulnerabilità

Heinzl ha dichiarato di aver identificato 17 debolezze distinte nel software. Rockwell le ha raggruppate in base al componente interessato, ottenendo quattro identificativi CVE, mentre il ricercatore ha pubblicato avvisi individuali per i problemi sottostanti.

Rockwell e CISA hanno dichiarato di non aver trovato prove dello sfruttamento delle vulnerabilità in ambiente reale. Le organizzazioni che utilizzano Arena dovrebbero eseguire l’aggiornamento alla versione 17.00.01, limitare l’accesso ai file di progetto non attendibili e rafforzare la consapevolezza degli utenti riguardo agli allegati imprevisti e ai modelli di simulazione condivisi.