CVE-2025-14815: Mitsubishi Electric GENESIS64 e suíte ICONICS: armazenamento em texto claro de credenciais do SQL Server
A CVE-2025-14815 é uma fraqueza de armazenamento em texto claro (CWE-312) em diversos produtos de software industrial da Mitsubishi Electric e da ICONICS, nos quais credenciais do SQL Server ficam em texto puro em um arquivo SQLite local quando o recurso de cache local está habilitado e a autenticação SQL é usada. O CNA atribuiu pontuação base CVSS 4.0 de 9.3 (crítica), e o ataque exige acesso local. O registro não informa versões corrigidas e não há exploração confirmada nas fontes consultadas.
Visão geral
A CVE-2025-14815 descreve armazenamento em texto claro de informações sensíveis (CWE-312) em vários produtos da Mitsubishi Electric e da ICONICS usados em ambientes de software industrial e de supervisão. Segundo a descrição, credenciais do SQL Server ficam em texto puro em um arquivo SQLite local quando o recurso de cache local está habilitado e a autenticação SQL é utilizada.
Impacto
A descrição indica que um atacante local poderia divulgar as credenciais armazenadas do SQL Server. O mesmo texto afirma que uma parte não autorizada poderia então acessar o SQL Server e divulgar, adulterar ou destruir dados no servidor, além de potencialmente causar uma condição de negação de serviço.
- O CNA atribuiu pontuação base CVSS 4.0 de 9.3, com alto impacto na confidencialidade, integridade e disponibilidade do sistema vulnerável e dos sistemas subsequentes.
- O vetor inclui vetor de ataque local, baixa complexidade de ataque, sem requisitos de ataque, privilégios baixos e nenhuma interação do usuário.
Produtos e versões afetados
A descrição lista os seguintes produtos e versões:
- Mitsubishi Electric GENESIS64, ICONICS Suite, MobileHMI, Hyper Historian e AnalytiX: versão 10.97.3 e anteriores.
- Mitsubishi Electric GENESIS: versão 11.02 e anteriores.
- Mitsubishi Electric MC Works64: todas as versões.
- As variantes Iconics Digital Solutions dos produtos acima, com as mesmas faixas de versão indicadas na descrição.
O campo estruturado de produtos afetados do registro está vazio, portanto as faixas de versão acima vêm apenas do texto da descrição. Confirme a aplicabilidade com o aviso do fabricante.
Status de exploração
O registro indica que esta CVE não consta no catálogo Known Exploited Vulnerabilities da CISA. Não há exploração confirmada no ambiente real nas fontes consultadas. A probabilidade EPSS é 0.00101, o que representa uma estimativa baixa de exploração.
Correção e mitigação
O registro não inclui versões corrigidas nem identificadores de correção. A ausência de versões corrigidas no registro não significa que não exista correção. As equipes devem consultar o aviso do fabricante e o aviso da CISA para orientações de remediação.
- Inventarie todos os sistemas que executam os produtos e versões listados, incluindo estações de engenharia e de historiador.
- Verifique se o recurso de cache local com SQLite está habilitado e se a autenticação SQL é usada para acessar o SQL Server, pois essas condições são descritas como necessárias.
- Restrinja o acesso local aos hosts afetados, aplicando o princípio do menor privilégio para contas de operadores e de serviço.
- Quando viável, planeje a migração para métodos de autenticação integrados ou mais protegidos, e troque as credenciais do SQL Server que possam ter sido armazenadas no arquivo local.
- Proteja o arquivo SQLite com permissões restritivas no sistema de arquivos e inclua-o nas linhas de base de endurecimento dos hosts.
Orientações de detecção
- Monitore acessos inesperados aos arquivos de cache local usados pelos produtos afetados e logons incomuns no SQL Server vindos de hosts que normalmente não se conectam a ele.
- Revise os logs de auditoria do SQL Server para autenticações de contas ou origens inesperadas e para alterações ou exclusões de dados inesperadas.
- Acompanhe a disponibilidade das aplicações afetadas, já que a descrição menciona possível resultado de negação de serviço.
Limitações das informações disponíveis
- Os campos estruturados de produtos afetados, correções e patches estão vazios no registro.
- O registro não descreve a localização exata do arquivo, detalhes do formato ou condições técnicas além do que consta na descrição, e esta análise não os inclui.
- Os dados do EPSS têm data de 13/10/2026, posterior à data de publicação do registro. Trate essas métricas com cautela até que sejam atualizadas.
- O conteúdo do aviso do fabricante não estava no registro, portanto o status de correção de cada produto deve ser verificado com o fabricante.
Perguntas frequentes
Qual é a fraqueza central da CVE-2025-14815?
A descrição afirma que credenciais do SQL Server ficam em texto puro em um arquivo SQLite local quando o cache local está habilitado e a autenticação SQL é usada. Isso é classificado como CWE-312, armazenamento em texto claro de informações sensíveis.
A CVE-2025-14815 é conhecida como explorada ativamente?
O registro mostra que ela não consta no catálogo KEV da CISA, e não há exploração confirmada no ambiente real nas fontes consultadas.
O registro informa versões corrigidas?
Não. O campo de correções está vazio. A ausência de versões corrigidas no registro não significa que não exista correção, por isso consulte o aviso do fabricante.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.