CubeSpace CW0057 Rueda de Reacción

Ver Vista de Resumen CSAF La explotación exitosa de esta vulnerabilidad podría permitir a un atacante cargar firmware malicioso arbitrario en el dispositivo. Las siguientes versiones de CubeSpace CW0057 Reaction Wheel están afectadas: CW0057 Reaction Wheel CVSS Vulnerabilidades del equipo del vendedor v3 6.1 CubeSpace CubeSpace CW0057 Reaction Wheel Verificación incorrecta de la firma criptográfica Antecedentes Sectores de infraestructura crítica: Comunicaciones Países/Áreas Desplegadas: Mundial Ubicación de la sede de la empresa: Sudáfrica Vulnerabilidades Expandir Todo + CVE-2026-13743 Las versiones de firmware de CubeSpace CW0057 Reaction Wheel anteriores a 5.0.20 son vulnerables a una vulnerabilidad de verificación incorrecta de la firma criptográfica. Esto podría permitir a un atacante con acceso físico al producto cargar firmware malicioso arbitrario en el dispositivo sin autenticación. Ver Detalles de CVE Productos Afectados CubeSpace CW0057 Reaction Wheel Vendedor: CubeSpace Versión del producto: CubeSpace CW0057 Reaction Wheel: <firmware_5.0.20 Estado del producto: conocido_ afectado Remedios Solución del proveedor CubeSpace ha lanzado las siguientes versiones de firmware para que los usuarios las habiliten: Versión de firmware 5.0.20. La versión de firmware 5.0.20 introduce la capacidad de arranque seguro verificado criptográficamente; sin embargo, esta protección no está habilitada por defecto. Los usuarios deben activar la funcionalidad de arranque firmado, especialmente el modo totalmente inmutable, para lograr seguridad total. Mitigación CubeSpace reconoce el hallazgo. La rueda de reacción CW0057 autentica las actualizaciones de firmware con una verificación de integridad CRC-32, lo que confirma la integridad de la imagen pero no verifica la fuente de una imagen. La explotación requiere acceso físico directo al dispositivo y no es explotable de forma remota. Un dispositivo afectado por este método sigue siendo recuperable: el cargador de arranque opera independientemente del firmware de la aplicación y puede recargar imágenes conocidas y buenas proporcionadas por CubeSpace, por lo que una unidad afectada no puede ser desactivada permanentemente por este método. A partir de la versión de firmware 5.0.20, CubeSpace ofrece arranque seguro criptográfico opcional de diversos niveles de seguridad que los clientes pueden habilitar. Dado el requisito de acceso físico y la disponibilidad de recuperación, CubeSpace evalúa el riesgo práctico como bajo. CWE relevante: CWE-347 Verificación incorrecta de la firma criptográfica Métricas CVSS Versión Puntaje Base Severidad Base Vector String 3.1 6.1 MEDIO CVSS:3.1/AV:P/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H 4.0 3.3 BAJO CVSS:4.0/AV:P/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:H/SC:N/SI:N/SA:N/E:P Agradecimientos Anthony Rose reportó esta vulnerabilidad a CISA Aviso legal y términos de uso Este producto se proporciona sujeto a esta Notificación (https://www.cisa.gov/notification) y esta política de privacidad y uso (https://www.cisa.gov/privacy-policy). Prácticas recomendadas CISA recomienda que los usuarios tomen medidas defensivas para minimizar el riesgo de explotación de esta vulnerabilidad. Minimice la exposición en red de todos los dispositivos y/o sistemas de control, asegurándose de que no sean accesibles desde internet. Ubique las redes de sistemas de control y los dispositivos remotos detrás de cortafuegos y aíslelos de las redes empresariales. Cuando se requiera acceso remoto, utilice métodos más seguros, como Redes Privadas Virtuales (VPN), reconociendo que las VPN pueden tener vulnerabilidades y deben actualizarse a la versión más actual disponible. También reconozca que las VPN son solo tan seguras como los dispositivos conectados. CISA recuerda a las organizaciones realizar un análisis de impacto adecuado y una evaluación de riesgos antes de implementar medidas defensivas. CISA también proporciona una sección de prácticas recomendadas de seguridad para sistemas de control en la página web de ICS en cisa.gov/ics. Varios productos de CISA que detallan las mejores prácticas de defensa cibernética están disponibles para lectura y descarga, incluyendo la mejora de la ciberseguridad de los sistemas de control industrial con estrategias de defensa en profundidad. CISA anima a las organizaciones a implementar estrategias de ciberseguridad recomendadas para la defensa proactiva de los activos de ICS. Orientación adicional de mitigación y prácticas recomendadas están disponibles públicamente en la página de ICS en cisa.gov/ics en el documento de información técnica, ICS-TIP-12-146-01B--Estrategias de detección y mitigación de intrusiones cibernéticas dirigidas. Las organizaciones que observen actividad maliciosa sospechosa deben seguir los procedimientos internos establecidos y reportar hallazgos a CISA para su seguimiento y correlación con otros incidentes. CISA también recomienda que los usuarios tomen las siguientes medidas para protegerse contra ataques de ingeniería social: No hacer clic en enlaces web ni abrir archivos adjuntos en mensajes de correo electrónico no solicitados. Consulte Reconocimiento y evitación de estafas por correo electrónico para obtener más información sobre cómo evitar estafas por correo electrónico. Consulte Evitando ataques de ingeniería social y de phishing para obtener más información sobre ataques de ingeniería social. No se ha informado a CISA sobre ninguna explotación pública conocida que apunte específicamente a esta vulnerabilidad en este momento. Esta vulnerabilidad no es explotable de forma remota. Historial de revisiones Fecha de lanzamiento inicial: 2026-07-02 Resumen de revisiones Fecha 2026-07-02 1 Publicación inicial Aviso legal y términos de uso