Cuatro vulnerabilidades RCE en INVT HMITool (CVE‑2025­‑7223/24/25/26): gravedad, impacto y cómo proteger entornos ICS/OT

🔍 Resumen rápido

Se han identificado cuatro vulnerabilidades CVE‑2025‑7223, CVE‑2025‑7224, CVE‑2025‑7225 y CVE‑2025‑7226 en INVT HMITool, todas debidas a errores de escritura fuera de límites (out‑of‑bounds write) en el parser de archivos VPM. Cada una permite ejecución remota de código (RCE) con interacción del usuario (abrir un archivo malicioso o visitar una página web) y presenta un CVSS 7.8 OffSeq Threat Radar+15zerodayinitiative.com+15GEN+15. Este artículo detalla en conjunto la naturaleza técnica de la amenaza, productos afectados, impacto en entornos ICS/OT, mitigaciones recomendadas y referencias oficiales.

🧐 ¿Qué es el CVE‑2025‑7223/24/25/26?

Todas las vulnerabilidades se originan en la falta de validación de datos ingresados en archivos VPM, lo que provoca escrituras fuera de buffer durante el parsing de archivos. El resultado: un atacante puede sobrescribir posiciones críticas en memoria y ejecutar código arbitrario en el contexto del proceso INVT HMITool. Explotación requiere interacción del usuario —p.ej. abrir archivo VPM malicioso o navegar a sitio trampaNVDNVDNVDOffSeq Threat RadarOffSeq Threat Radar.

📂 Productos afectados

INVT HMITool: versiones que procesan archivos VPM sin parches de validación de buffer.

No disponemos de versiones exactas afectadas aún; se recomienda revisar deployments actuales.

💣 ¿Cómo funciona la vulnerabilidad?

Estas son vulnerabilidades tipo CWE‑787 (Out‑of‑Bounds Write): el parser no controla adecuadamente límites al leer datos VPM, provocando corrupciones en memoria. Al sobrescribir direcciones de retorno o punteros, se deriva en ejecución de código malicioso. Cada CVE reportado corresponde a variantes del mismo fallo en ZDI:

• CVE‑2025‑7223 (ZDI‑CAN‑25044) cuberk.com+15zerodayinitiative.com+15feedly.com+15OffSeq Threat Radar+1OffSeq Threat Radar+1
• CVE‑2025‑7224 (ZDI‑CAN‑25045) OffSeq Threat RadarNVD
• CVE‑2025‑7225 (ZDI‑CAN‑25047) �…
• CVE‑2025‑7226 (ZDI‑CAN‑25048) …

Todas tienen CVSS v3.1: 7.8 (Access Vector: Local/Low, Attack Complexity: Low, Privileges Required: None, User Interaction: Required, Scope: Unchanged, Confidentiality/Integrity/Availability: High).

🔐 Mitigación y soluciones

1. Actualizar inmediatamente INVT HMITool — contacte al fabricante o a ZDI para parches/actualizaciones oficiales.
2. Evitar interacción insegura: prohíba abrir archivos VPM no verificados o navegar a sitios sospechosos desde estaciones OT.
3. Segmentación de red estricta: aislar HMI/OT del resto de la red corporativa y restringir descargas externas.
4. Firewall e IDS/IPS: bloquear extensiones VPM no autorizadas y detectar patrones de explotación.
5. Monitoreo continuo: registro de actividad inusual, integridad de archivos y uso de herramientas EDR/OTDR.
6. Auditorías regulares: pentests enfocados en parsing VPM y revisión de buffers.

📅 Publicación y referencias

• Publicación inicial por ZDI: 7 de julio de 2025 cuberk.com+15zerodayinitiative.com+15opencve.io+15NVD+3feedly.com+3NVD+3
• Reportes NVD para cada CVE (fecha de publicación en NVD: CVE‑7223 reciente; CVE‑7224, CVE‑7225, CVE‑7226 igualmente en julio 2025) NVDNVDNVD
• ZDI advisories: ZDI‑25‑474, ‑475, ‑476, ‑477 respectivamente X (formerly Twitter)+4zerodayinitiative.com+4zerodayinitiative.com+4

✅ Conclusión

Estas cuatro vulnerabilidades en INVT HMITool representan una amenaza real para plantas industriales ICS/OT. Su explotación puede derivar en control remoto de sistemas críticos, con impactos físicos y económicos severos. La urgencia en parchear, segmentar redes y educar al personal es fundamental para prevenir brechas en infraestructura vital.

En digitalninjutsu.com estamos atentos a las últimas amenazas en ciberseguridad industrial. Comparte este artículo o déjanos tus dudas si necesitas ayuda adicional.