CVE-2025-26385: Johnson Controls Metasys - Injeção de Comando em Implantações com SQL Express
A Johnson Controls divulgou uma fraqueza crítica de injeção de comando (CWE-77) que afeta vários componentes Metasys e ferramentas de configuração relacionadas, quando o SQL Express está implantado como parte da instalação. O registro indica que a exploração bem-sucedida poderia permitir a execução remota de SQL. As fontes consultadas não mostram exploração confirmada, e o registro não informa versões corrigidas.
Visão geral
A Johnson Controls divulgou a CVE-2025-26385, uma fraqueza de injeção de comando (CWE-77) em vários componentes Metasys e em ferramentas de configuração relacionadas. Segundo o registro, a falha está ligada a instalações que incluem o SQL Express, e a exploração bem-sucedida poderia permitir a execução remota de SQL.
Impacto
- As métricas CVSS fornecidas pelo CNA, conforme registradas, descrevem um ataque acessível pela rede, com baixa complexidade, sem privilégios e sem interação do usuário, com requisitos de ataque indicados como presentes.
- As mesmas métricas atribuem alto impacto à confidencialidade, integridade e disponibilidade do sistema vulnerável.
- A execução remota de SQL, conforme descrita pelo CNA, poderia expor ou alterar dados mantidos pelo componente de banco de dados afetado. O registro não detalha quais dados ou funções estariam em risco.
Produtos e versões afetados
- Metasys Application and Data Server (ADS) com SQL Express, como parte do Metasys 14.1 e anteriores.
- Extended Application and Data Server (ADX) com SQL Express, como parte do Metasys 14.1.
- LCS8500 ou NAE8500 com SQL Express, como parte das versões do Metasys de 12.0 até 14.1.
- System Configuration Tool (SCT) com SQL Express, como parte do SCT 17.1 e anteriores.
- Controller Configuration Tool (CCT) com SQL Express, como parte do CCT 17.0 e anteriores.
O campo estruturado de afetados do registro está vazio, portanto a lista acima vem apenas do texto da descrição.
Status de exploração
O catálogo KEV da CISA não lista esta CVE no registro, de modo que não há exploração ativa confirmada. Nenhuma exploração confirmada aparece nas fontes consultadas. O registro não contém dados de EPSS ou SSVC.
Correção e mitigação
- O registro não informa versões corrigidas. Consulte a página de avisos de segurança da Johnson Controls e o aviso ICS da CISA para orientações do fabricante sobre atualizações.
- Faça o inventário de todas as implantações de Metasys, ADX, LCS8500, NAE8500, SCT e CCT e confirme se o SQL Express está instalado como parte delas.
- Restrinja o acesso de rede a esses servidores e às suas interfaces de banco de dados, e posicione-os em zonas segmentadas de tecnologia operacional.
- Aplique o princípio do menor privilégio às contas de serviço e de banco de dados usadas por essas aplicações.
- Priorize sistemas acessíveis a partir de redes menos confiáveis.
Orientações de detecção
- Monitore instâncias do SQL Express quanto a atividade de consulta inesperada, novas ações administrativas ou alterações em objetos do banco.
- Revise logs de aplicação e de banco de dados em busca de requisições anômalas originadas de hosts inesperados.
- Gere alertas para conexões de rede novas ou incomuns com servidores Metasys e portas de banco de dados vindas de fora dos sistemas de gestão aprovados.
Limitações das informações disponíveis
- O registro não lista versões corrigidas ou versões não afetadas.
- O campo estruturado de afetados está vazio; as versões afetadas foram extraídas da descrição.
- O título do registro estava ausente e o status da fonte é Deferred.
- Não há análise do NVD, pontuação EPSS ou decisão SSVC incluídas.
- As condições exatas para exploração e as capacidades específicas de SQL envolvidas não são descritas.
Perguntas frequentes
O que é a CVE-2025-26385?
É uma fraqueza de injeção de comando (CWE-77) em vários componentes Metasys da Johnson Controls e em ferramentas de configuração relacionadas, quando o SQL Express está implantado. O registro indica que a exploração bem-sucedida poderia permitir a execução remota de SQL.
Esta vulnerabilidade está sendo explorada ativamente?
O registro mostra que a CVE não está listada no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Quais versões são afetadas?
A descrição lista Metasys 14.1 e anteriores para ADS, Metasys 14.1 para ADX, versões do Metasys de 12.0 até 14.1 para LCS8500 e NAE8500, SCT 17.1 e anteriores, e CCT 17.0 e anteriores, quando o SQL Express está instalado como parte delas.
Há uma versão corrigida disponível?
O registro não informa versões corrigidas. Consulte a página de avisos do fabricante e o aviso ICS da CISA para orientações atuais.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.