Emerson - CVE-2024-3871
Date de publication :
L’agence CISA des États-Unis a publié le 20/11/2025 un bulletin concernant la CVE-2024-3871 qui affecte le logiciel Emerson Appleton UPSMON-PRO. Ce dernier est un logiciel de surveillance et de gestion de l'alimentation pour onduleurs. Ce logiciel est utilisé par les organismes des secteurs de la santé et de la santé publique pour garantir l'alimentation continue des équipements essentiels.
Un défaut de contrôle de la mémoire dans le service UPSMONProService d’Appleton UPSMON-PRO permet à un attaquant non authentifié, en envoyant des paquets UDP spécifiquement forgés, d’exécuter du code arbitraire avec les privilèges SYSTEM.
Informations
La faille est activement exploitée : Non
Un correctif existe : Non
Une mesure de contournement existe : Non
Exécution de code arbitraire
Élévation des privilèges
Exploitation
La vulnérabilité exploitée est du type
CWE-121: Stack-based Buffer Overflow
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
Emerson Appleton UPSMON-PRO versions 2.6 et versions antérieures
Solutions ou recommandations
Le produit est actuellement en fin de vie et aucun correctif n’est disponible, il est conseillé de le remplacer par un produit alternatif pris en charge.
Il est également recommandé de :
• Bloquer le port UDP 2601 au niveau du pare-feu pour toutes les installations UPSMON-PRO,
• Isoler les réseaux de surveillance des onduleurs des réseaux d'entreprise généraux,
• Filtrer les paquets au niveau du réseau afin de rejeter les paquets UDP surdimensionnés destinés au port 2601,
• Surveiller les plantages du service UPSMONProSer.exe, qui peuvent indiquer des tentatives d'exploitation.
Des informations complémentaires sont disponibles dans le bulletin du CISA.