Due falle in Siemens License Server: accesso remoto ai file e privilegi root

CISA segnala due vulnerabilità in Siemens License Server

Un advisory CISA identifica due vulnerabilità in Siemens License Server (SLS), il componente utilizzato per la gestione delle licenze software Siemens. Il prodotto è impiegato worldwide nel settore delle tecnologie dell’informazione; Siemens ha sede in Germania.

L’avviso CISA ICSA-26-225-07, associato all’advisory Siemens ProductCERT SSA-077553, è stato pubblicato inizialmente da Siemens l’11 agosto 2026 e ripubblicato da CISA il 13 agosto 2026.

Le due falle hanno caratteristiche diverse. Una richiede accesso locale e privilegi elevati già disponibili, ma può portare all’esecuzione di comandi come root. L’altra è sfruttabile via rete senza autenticazione e consente di leggere file arbitrari presenti sull’applicazione.

Siemens ha rilasciato versioni aggiornate e raccomanda di portare SLS all’ultima release disponibile. Il numero preciso della release corretta non è indicato nell’advisory.

Le versioni vulnerabili e i due identificativi CVE

Le condizioni di vulnerabilità riportate nello schema CSAF sono le seguenti:

• Siemens License Server (SLS) < V5.1: interessato da CVE-2026-69108;
• Siemens License Server (SLS) < V5.3: interessato da CVE-2026-69109.

Di conseguenza, anche sistemi aggiornati almeno alla versione 5.1 potrebbero rimanere esposti alla seconda vulnerabilità se non raggiungono la versione 5.3 o una release successiva.

L’advisory riepiloga per il prodotto una severità CVSS v3 pari a 7,5, corrispondente alla vulnerabilità accessibile da remoto. Le due falle, tuttavia, hanno punteggi e modalità di sfruttamento differenti.

CVE-2026-69108: una policy sudoers consente operazioni con privilegi root

La CVE-2026-69108 riguarda una configurazione non sicura della policy sudoers. La classificazione è CWE-732, cioè assegnazione errata dei permessi a una risorsa critica.

Lo sfruttamento richiede accesso locale e privilegi elevati già disponibili. Non è quindi una falla che, da sola, permette necessariamente a un utente remoto non autenticato di entrare nel sistema. Può però consentire a un soggetto già presente nell’ambiente di:

• eseguire comandi arbitrari;
• scrivere file malevoli con privilegi root;
• compromettere completamente il sistema interessato.

Il punteggio CVSS 3.1 è 6,0, con vettore:

CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N

Il vettore indica accesso locale, bassa complessità di attacco e necessità di privilegi elevati, senza interazione dell’utente. L’impatto riguarda soprattutto la riservatezza e l’integrità del sistema; la disponibilità non è valutata come direttamente compromessa nel punteggio.

CVE-2026-69109: lettura di file arbitrari senza autenticazione

La CVE-2026-69109 è una vulnerabilità di path traversal, classificata come CWE-35. L’applicazione non sanifica adeguatamente un input controllato dall’utente, permettendo di manipolare il percorso richiesto e accedere a file al di fuori della posizione prevista.

Il requisito di accesso è più critico: l’attacco può essere condotto da remoto, senza autenticazione e senza interazione dell’utente. L’impatto dichiarato è la lettura di file arbitrari presenti sull’applicazione.

La vulnerabilità ha un punteggio CVSS 3.1 di 7,5, con vettore:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

In termini operativi, un’installazione esposta alla rete potrebbe permettere a un attaccante di recuperare informazioni riservate senza possedere un account. Il brief non indica quali file siano stati effettivamente cercati o sottratti, né segnala compromissioni confermate.

Chi è esposto e quali controlli eseguire

Sono interessati gli ambienti che eseguono Siemens License Server sotto le versioni indicate. Il rischio dipende anche dalla raggiungibilità del servizio: un’istanza isolata in una rete di controllo presenta una superficie d’attacco diversa rispetto a un server accessibile da reti aziendali o, peggio, direttamente da Internet.

Gli amministratori dovrebbero:

1. identificare tutte le installazioni di SLS e verificarne la versione;
2. aggiornarle all’ultima release resa disponibile da Siemens;
3. limitare l’accesso di rete con firewall e regole restrittive;
4. impedire l’esposizione diretta dei sistemi di controllo a Internet;
5. separare reti industriali, dispositivi remoti e reti aziendali;
6. usare VPN aggiornate per gli accessi remoti, proteggendo anche i dispositivi da cui partono le connessioni;
7. configurare l’ambiente seguendo le linee guida Siemens per l’Industrial Security e i manuali di prodotto.

Prima di applicare modifiche a sistemi operativi o infrastrutture industriali è necessario svolgere un’analisi d’impatto e una valutazione del rischio. Le organizzazioni dovrebbero inoltre verificare i log alla ricerca di richieste anomale verso percorsi di file, accessi inattesi al servizio e modifiche non autorizzate a file o configurazioni con privilegi amministrativi.

Eventuali attività sospette vanno gestite secondo le procedure interne di risposta agli incidenti e segnalate a CISA.

Stato dell’allerta e priorità operativa

Non è noto se queste vulnerabilità siano incluse nel catalogo Known Exploited Vulnerabilities (KEV) di CISA. Di conseguenza, non è disponibile una scadenza KEV associata all’applicazione delle correzioni, né è indicato un collegamento con campagne ransomware.

L’assenza di queste informazioni non riduce la priorità per i sistemi esposti: la CVE-2026-69109 non richiede autenticazione e può consentire la lettura remota di file. Per la CVE-2026-69108, invece, la protezione dei privilegi locali e il controllo degli account amministrativi restano elementi centrali.

La misura principale rimane l’aggiornamento di Siemens License Server, accompagnato dalla riduzione della superficie di rete. Applicare soltanto la patch, lasciando il servizio raggiungibile da reti non necessarie, non elimina i rischi legati a configurazioni insicure e accessi impropri.