Rockwell Automation OTTO Fleet Manager

Tradução automática do conteúdo disponibilizado no feed de CISA. Original: https://www.cisa.gov/news-events/ics-advisories/icsa-26-239-03

Ver resumo CSAF

A exploração bem-sucedida desta vulnerabilidade poderia reduzir o custo computacional necessário para que um atacante realizasse ataques offline de força bruta contra hashes de senhas armazenados. As seguintes versões do Rockwell Automation OTTO Fleet Manager são afetadas: OTTO Fleet Manager.

CVSS v3: 6.8. Rockwell Automation OTTO Fleet Manager. Uso de hash de senha com esforço computacional insuficiente.

Setores de infraestrutura crítica: manufatura crítica, sistemas de transporte. Países/regiões implantados: mundialmente.

CVE-2026-75112
Existe um problema de segurança no OTTO Fleet Manager. A vulnerabilidade decorre do uso de um fator de trabalho insuficiente na implementação de hash de senhas bcrypt, o que poderia reduzir o custo computacional necessário para que um atacante realizasse ataques offline de força bruta contra hashes de senhas armazenados. Se um atacante obtiver acesso a um backup de sistema não criptografado, as credenciais com hash fraco poderão ser comprometidas mais facilmente.

Produto afetado: Rockwell Automation OTTO Fleet Manager. Status: conhecido como afetado.

Mitigação
A Rockwell Automation corrigiu esta vulnerabilidade na versão 2.36.3 do software.
https://file-share.ottomotors.com/login

Usuários do software que não puderem atualizar para a versão corrigida ou aplicar as mitigações devem usar as práticas recomendadas de segurança da Rockwell Automation.
https://support.rockwellautomation.com/app/answers/answer_view/a_id/1085012/loc/en_US#__highlight

Correção do fornecedor
Consulte o aviso de segurança SD1791 da Rockwell Automation para obter mais informações sobre esse problema e instruções para habilitar backups de sistema criptografados no OTTO Fleet Manager.
https://www.rockwellautomation.com/en-us/trust-center/security-advisories/advisory.SD1791.html

Se tiver dúvidas sobre os problemas de segurança acima ou sobre a mitigação, entre em contato com o suporte da Rockwell Automation.
https://ottomotors.com/otto-care/

E-mail do PSIRT da Rockwell Automation: rasecure@ra.rockwell.com
CWE relevante: CWE-916 — Uso de hash de senha com esforço computacional insuficiente.

Métricas
CVSS 3.1: 6.8, MÉDIO, CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N
CVSS 4.0: 6.9, MÉDIO, CVSS:4.0/AV:A/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

A Rockwell Automation reportou esta vulnerabilidade à CISA.

A CISA recomenda minimizar a exposição de rede de dispositivos e sistemas de controle, isolá-los atrás de firewalls e usar métodos mais seguros, como VPNs atualizadas, quando o acesso remoto for necessário. As organizações devem realizar análise de impacto e avaliação de risco antes de aplicar medidas defensivas.

Nenhuma exploração pública conhecida especificamente direcionada a esta vulnerabilidade foi reportada à CISA até o momento. Esta vulnerabilidade não é explorável remotamente.

Data da versão inicial: 2026-08-27. Republicação inicial do aviso SD1791 da Rockwell Automation.