Investigadores de seguridad han descubierto seis vulnerabilidades críticas de denegación de servicio (DoS) en el gateway industrial Socomec DIRIS M-70, utilizado para la monitorización de energía y la gestión energética en infraestructuras críticas. Los fallos fueron identificados mediante una innovadora técnica de emulación que superó las limitaciones de depuración de hardware al centrarse en un único hilo que gestiona las comunicaciones del protocolo Modbus. 

Investigadores de seguridad han descubierto seis vulnerabilidades críticas de denegación de servicio en la pasarela industrial Socomec DIRIS M-70, utilizada para monitoreo de energía y gestión energética en infraestructuras críticas.

Los fallos fueron descubiertos mediante una técnica de emulación innovadora que evitó las limitaciones de depuración de hardware al centrarse en un único hilo que maneja las comunicaciones del protocolo Modbus.

La pasarela M-70 facilita la comunicación de datos a través de redes RS485 y Ethernet, al tiempo que soporta múltiples protocolos de comunicación industrial, como Modbus RTU, Modbus TCP, BACnet IP y SNMP.

Las vulnerabilidades afectan a la versión 1.6.9 del firmware y podrían permitir a atacantes remotos interrumpir las operaciones del dispositivo sin necesidad de autenticación.

Estos fallos representan riesgos graves para sectores como centros de datos, instalaciones sanitarias e infraestructuras críticas, donde la pasarela actúa como componente vital para la gestión energética.

Una pasarela comprometida podría provocar cortes generalizados, interrupciones operativas y daños en equipos en entornos industriales.

Investigadores de Cisco Talos identificaron las vulnerabilidades tras encontrarse con el nivel 1 de Protección contra Lectura de Código (RDP) en el microcontrolador STM32 del dispositivo, lo que impedía la depuración tradicional mediante conexiones JTAG.

Este mecanismo de protección bloquea la lectura de la memoria flash mientras se detecta acceso al depurador, haciendo imposible examinar el código durante su ejecución.

Los investigadores obtuvieron un archivo de actualización de firmware sin cifrar que proporcionó el código necesario para el análisis.

El equipo de investigación desarrolló un enfoque de emulación dirigido utilizando el marco Unicorn Engine para ejecutar únicamente el hilo de procesamiento de Modbus, en lugar de intentar una emulación completa del sistema.

Esta estrategia demostró ser efectiva para el descubrimiento de vulnerabilidades, requiriendo significativamente menos tiempo de desarrollo.

Los investigadores integraron AFL (American Fuzzy Lop) para fuzzing guiado por cobertura y posteriormente migraron al marco Qiling, que añadió capacidades de depuración y visualización de cobertura de código.

El hilo de Modbus soportaba más de 700 tipos de mensajes únicos, lo que hacía poco práctico el análisis manual.

Detalles e impacto de las vulnerabilidades

La campaña de fuzzing identificó con éxito seis vulnerabilidades, registradas como CVE-2025-54848, CVE-2025-54849, CVE-2025-54850, CVE-2025-54851, CVE-2025-55221 y CVE-2025-55222.

Cada vulnerabilidad tiene una puntuación CVSS v3.1 de 7.5 (ALTO), con vectores de ataque basados en red que requieren baja complejidad y ninguna interacción del usuario.

Los fallos permiten a atacantes no autenticados enviar mensajes Modbus TCP o Modbus RTU sobre TCP especialmente diseñados que desencadenan condiciones de denegación de servicio, dejando el dispositivo inoperable.

Socomec ha lanzado parches para todos los productos afectados tras la divulgación bajo la Política de Divulgación Coordinada de Cisco.

Los usuarios que ejecuten la versión 1.6.9 del firmware deben actualizar inmediatamente a la versión 1.7 o posterior para protegerse contra la explotación.

Las organizaciones también pueden implementar reglas de detección SNORT disponibles en Snort.org para identificar posibles intentos de explotación dirigidos a estas vulnerabilidades en sus entornos de red.

La investigación demuestra cómo la emulación enfocada en componentes vulnerables específicos puede lograr un descubrimiento de vulnerabilidades impactante sin necesidad de emular el sistema completo.

Fuentes:
https://cybersecuritynews.com/fuzzing-expose-dos-flaws-in-socomec-diris-m-70-iiot-device/