- شناسه CVE-2025-26389 :CVE
- CWE-78 :CWE
- yes :Advisory
- منتشر شده: می 13, 2025
- به روز شده: می 13, 2025
- امتیاز: 10.0
- نوع حمله: Unknown
- اثر گذاری: Remote code execution(RCE)
- حوزه: سیستم‌های هوشمندسازی ساختمان
- برند: Siemens
- محصول: OZW672
- وضعیتPublished :CVE
- No :POC
- وضعیت آسیب پذیری: patch شده
چکیده
آسیب‌پذیری بحرانی تزریق فرمان سیستم‌عامل (OS command injection) در اندپوینت exportDiagramPage وب سرویس دستگاه‌های OZW672 و OZW772 زیمنس شناسایی شده است. این ضعف امنیتی به مهاجم از راه دور و بدون احراز هویت اجازه می‌دهد کد دلخواه را با سطح دسترسی root اجرا کند.
توضیحات
آسیب‌پذیری CVE-2025-26389 در وب سرویس دستگاه‌های OZW672 و OZW772 زیمنس، ناشی از عدم پاکسازی پارامترهای ورودی مورد نیاز برای اندپوینت exportDiagramPage است و مطابق با CWE-78 (تزریق فرمان سیستم‌عامل) طبقه‌بندی می‌شود.
این اندپوینت که برای استخراج صفحات دیاگرام طراحی شده(exportDiagramPage) ، ورودی‌های ارسالی را به‌درستی فیلتر نمی‌کند؛ در نتیجه، مهاجم می‌تواند با تزریق دستورات مخرب در پارامترها، آن‌ها را مستقیماً در شل (shell) سیستم‌عامل اجرا کند. این ضعف بدون نیاز به احراز هویت و از طریق شبکه قابل بهره‌برداری است.
به عبارتی، مهاجم می‌تواند با اسکریپت‌ها یا ابزارهای خودکار، به‌صورت از راه دور، بدون تعامل کاربر و بدون داشتن حساب کاربری، پارامترهای مخرب را به اندپوینت exportDiagramPage ارسال کند و دستورات سیستم‌عامل را با سطح دسترسی root اجرا نماید. این بهره‌برداری بر پایه HTTP/HTTPS (پروتکل‌های انتقال وب) عمل می‌کند.
پیامدهای این آسیب‌پذیری شامل نقض محرمانگی با امکان افشای اطلاعات حساس، یکپارچگی با تغییر یا حذف داده‌های سیستم و در دسترس‌پذیری با امکان اختلال کامل در عملکرد دستگاه است؛ مهاجم می‌تواند کنترل کامل دستگاه را به دست آورد، تنظیمات HVAC (گرمایش، تهویه و تهویه مطبوع) را دستکاری کرده، لاگ‌ها را پاک کند یا حتی از دستگاه به عنوان نقطه ورود به شبکه داخلی استفاده نماید. زیمنس این آسیب‌پذیری را در نسخه 8.0 پچ کرده است.
CVSS
| Score | Severity | Version | Vector String |
| 10.0 | CRITICAL | 3.1 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| 10.0 | CRITICAL | 4.0 | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H |
لیست محصولات آسیب پذیر
| Versions | Product |
| affected from 0 before V8.0 | OZW672 |
| affected from 0 before V8.0 | OZW772 |
لیست محصولات بروز شده
| Versions | Product |
| V8.0 | OZW672 |
| V8.0 | OZW772 |
استفاده محصول در ایران
در این جدول، تعداد صفحات ایندکس‌شده در گوگل با دامنه .ir که Siemens OZW را ذکر کرده اند، ثبت شده است. این داده صرفاً برای برآورد تقریبی حضور محصولات در وب ایران استفاده شده و نمایانگر میزان نصب دقیق و استفاده واقعی نیست.
| Approx. Usage in .ir Domain via Google
(Total Pages) |
Search Query (Dork) | Product |
| 5 | site:.ir “Siemens” “OZW” | Siemens OZW |
نتیجه گیری
این آسیب‌پذیری با شدت بحرانی در وب سرویس دستگاه‌های OZW672 و OZW772 زیمنس، امکان اجرای کد دلخواه با دسترسی Root را از راه دور فراهم می‌کند و در صورت بهره برداری می‌تواند منجر به کنترل کامل دستگاه و نفوذ به شبکه داخلی شود. با توجه به انتشار پچ رسمی اجرای اقدامات زیر برای جلوگیری از بهره‌برداری و کاهش ریسک ضروری است:
- بهروزرسانی فوری: تمام دستگاه‌های OZW672 و OZW772 را به نسخه 0 یا بالاتر بهروزرسانی کنید؛ بسته‌های اصلاحی و ابزارهای بهروزرسانی از طریق پورتال پشتیبانی زیمنس (Siemens Support) در دسترس می باشند؛ پس از دانلود، مقدار هش (SHA‑256) فایل‌ها را بررسی کرده و قبل از اعمال در محیط تولید، فرآیند را در محیط آزمایشی تست کنید. توجه داشته باشید که برخی به‌روزرسانی‌ها ممکن است نیاز به مسیر بهروزرسانی مرحله‌ای (incremental update) داشته باشند.
- ایزوله‌سازی شبکه: تا زمان نصب پچ، دسترسی به پورت‌های وب دستگاه (HTTP/HTTPS) را با فایروال محدود کنید، مدیریت دستگاه‌ها را از طریق VLAN، شبکه جداگانه (management network) یا VPN انجام دهید و دسترسی مدیریتی را فقط به آدرس‌های IP معتبر محدود کنید.
- غیرفعال‌سازی سرویس غیرضروری: در صورت عدم نیاز به قابلیت exportDiagramPage و وب‌سرویس مربوطه، آن غیرفعال کنید یا دسترسی به اندپوینت مربوطه را از طریق WAF یا قوانین فایروال مسدود نمایید.
- اعمال حداقل دسترسی: از اصل حداقل دسترسی (least privilege) در پیکربندی دستگاه استفاده کنید و دسترسی‌های مدیریتی را محدود سازید.
- نظارت بر ترافیک: ترافیک ورودی به وب‌سرور را با ابزارهایی مانند Suricata یا Zeek نظارت کرده و برای الگوهای احتمالی تزریق فرمان قواعد هشدار تعریف کنید. لاگ‌های وب‌سرور و سیستم را برای فراخوانی‌های غیرمعمول و اجرای شل بررسی کنید.
- بهروزرسانی مداوم: سیاست بهروزرسانی منظم را تعریف کرده، امکان بهروزرسانی خودکار را فعال کنید و از ابزار مدیریت دارایی یا پچ (asset management / patch management) برای پیگیری وضعیت نسخه‌ها استفاده نمایید..
- تست امنیتی دوره‌ای (Periodic testing): اندپوینت‌های وب را با ابزارهای مناسب (مثلاً Burp Suite، Metasploit برای تست‌های کنترل‌شده) اسکن و سناریوهای تزریق فرمان را شبیه‌سازی کنید.
- آماده‌سازی و بازیابی (Preparation & recovery): قبل از اعمال پچ، از پیکربندی‌ها و داده‌های حیاتی نسخه پشتیبان معتبر تهیه کنید. در صورت مشاهده شواهد نفوذ، دستگاه مشکوک را فورا ایزوله کنید و تنها پس از پاکسازی و بازیابی ایمن، آن را به شبکه بازگردانید.
- آموزش و آگاهی: تیم‌های فنی را در مورد ریسک‌های تزریق فرمان، اهمیت بهروزرسانی و بهترین شیوه‌های ایمن‌سازی IoT آموزش دهید.
اجرای این اقدامات، ریسک اجرای کد دلخواه را به حداقل می‌رساند، امنیت زیرساخت‌ها را حفظ می‌کند و از تبدیل دستگاه‌های OZW به نقطه ورودِ خطرناک در شبکه صنعتی جلوگیری می‌کند.
امکان استفاده در تاکتیک های Mitre Attack
Initial Access (TA0001)
اندپوینت وبِ باز و بدون احراز هویت (HTTP/HTTPS) exportDiagramPage روی OZW672/OZW772 به‌عنوان برد ورود عمل می‌کند؛ مهاجم از راه دور با ارسال درخواست‌های HTTP crafted می‌تواند پارامترهای ورودی را بهره‌برداری کند و اجرای فرمان را تحریک نماید.
Execution (TA0002)
تزریق فرمان سیستم‌عامل از طریق پارامترهای اندپوینت منجر به اجرای کد دلخواه در شل سیستم‌عامل می‌شود؛ در این مورد اجرای کد از راه دور (RCE) بدون نیاز به تعامل کاربر/احراز هویت امکان‌پذیر است و مهاجم می‌تواند به‌طور مستقیم دستورات با سطح root اجرا کند.
Persistence (TA0003)
پس از بهره‌برداری، مهاجم می‌تواند وب‌شل، کرون‌جاب یا فایل‌های باینری دستکاری‌شده را برای حفظ دسترسی قرار دهد؛ دستگاه‌های صنعتی اغلب ابزارهای محدودی برای شناسایی persistence دارند که باعث می‌شود بک‌دورها دیر تشخیص داده شوند.
Privilege Escalation (TA0004)
بهره‌برداری مستقیم منجر به اجرای دستورات با دسترسی root می‌شود؛ یعنی مهاجم فوراً سطح دسترسی کامل سیستم را به‌دست می‌آورد و نیازی به تکنیک‌های جداگانه ارتقای دسترسی نیست
Defense Evasion (TA0005)
حذف یا پاکسازی لاگ‌ها، تغییر timestampها، و غیرفعال‌سازی مکانیسم‌های لاگ محلی و سیستم‌های مانیتورینگ پس از اجرای فرمان محتمل است؛ به‌علاوه استفاده از payloadهای غیرمستند و اجرای دستورات در حافظه باعث دور زدن امضاهای ساده IDS/AV می‌شود.
Discovery (TA0007)
مهاجم پس از ورود اقدام به شناسایی شبکه محلی، سرویس‌های همجوار، فایل‌های پیکربندی حساس و نقاط مدیریت می‌کند تا برد حمله را گسترش دهد؛ فراخوانی اندپوینت‌های مدیریتی و خواندن پیکربندی‌ها یا فایل‌های ذخیره‌شده رایج است.
Lateral Movement (TA0008)
با دسترسی root روی دستگاه کنترل‌کننده، مهاجم می‌تواند از آن به‌عنوان پل برای نفوذ به شبکه مدیریت و سیستم‌های پشت‌بان (مثل سرورهای مدیریت، دیتابیس‌های ساختمانی یا کنترل‌کننده‌های دیگر) منتقل شود
Collection (TA0009)
حذف، خوانش یا جمع‌آوری فایل‌های پیکربندی، لاگ‌های عملکردی، گواهی‌ها و اطلاعات احراز هویتِ ذخیره‌شده امکان‌پذیر است که برای برنامه‌ریزی حملات بعدی یا استخراج اطلاعات حساس استفاده می‌شود.
Exfiltration (TA0010)
دیتا و فایل‌های حساس می‌تواند از طریق کانال‌های HTTP/S یا کانال‌های مخفی (ترافیک رمزگذاری‌شده یا تونل‌شده) خارج شود؛ دستگاه‌هایی با پهنای باند محدود ممکن است داده‌های کوچکِ کلیدی را به آرامی استخراج کنند تا شناسایی نشوند.
Impact (TA0040)
با اجرای کد root مهاجم قادر است عملکرد HVAC/BMS را مختل، پارامترهای کنترلی را تغییر، لاگ‌ها را پاک و دسترسی سرویس‌رسانی را قطع کند—پی آمدها شامل اختلال در خدمات حیاتی، خطر فیزیکی برای ساکنین و استفاده از دستگاه‌ها به‌عنوان نقطه ورود به شبکه صنعتی است.
منابع
- https://www.cve.org/CVERecord?id=CVE-2025-26389
- https://www.cvedetails.com/cve/CVE-2025-26389/
- https://cert-portal.siemens.com/productcert/html/ssa-047424.html
- https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-26389
- https://vuldb.com/?id.308592
- https://support.industry.siemens.com/cs/ww/en/view/62567396/
- https://support.industry.siemens.com/cs/ww/en/view/62564534/
- https://nvd.nist.gov/vuln/detail/cve-2025-26389
- https://cwe.mitre.org/data/definitions/78.html
