Siemens ProductCERT opublikował 8 września 2026 advisory SSA-142885 dla Reyrolle 7SR5. Wszystkie wersje wcześniejsze niż V2.70 są objęte jednym security release, który mapuje aż 14 CVE. To nie jest jednorodna grupa — w jednym release są m.in. unauthenticated auth bypass, przewidywalne session IDs, pre-auth memory corruption/DoS, RBAC bypass, physical-access firmware execution oraz pięć starszych CVE odziedziczonych z embedded Cesanta Mongoose Web Server 7.14.
Vulnerability unit vs remediation unit
Jeśli system tworzy jeden ticket na CVE, jeden relay dostaje kilkanaście równoległych zadań, choć realna operacja jest jedna. Stąd rozróżnienie: vulnerability unit (pojedyncze CVE z własnym attack path) i remediation unit (operacja zamykająca wiele findings). Ale grupowanie nie może kasować różnic w exploitability — remote session hijack, pre-auth DoS i physical-access memory corruption nie są równoważnymi findings, mimo wspólnego firmware targetu.
CVSS 3.1 vs 4.0 i inherited vulnerabilities
Advisory podaje różne wyniki CVSS 3.1 i 4.0 (np. dla 62647: 7.4 v3.1, 9.3 v4.0). Dashboard mieszający wersje bez provenance pokaże jeden release jako niespójną kolekcję severity — przechowuj score + vector + version_of_cvss + source. Część CVE pochodzi z embedded Mongoose 7.14: SCA pokazujący „Mongoose 7.14 vulnerable” bez mapowania do „Reyrolle V2.70” daje finding bez actionability. Model: component finding → product mapping → vendor remediation target.
Priorytet i weryfikacja
Nie wszystkie urządzenia jednakowo pilnie: czy WebUI osiągalne, czy management segmentowany, czy atak wymaga fizycznego dostępu, czy jest redundant protection. Segmentacja i redundancja to compensating controls dla availability, ale nie usuwają root cause. Weryfikacja: firmware bootuje jako V2.70+, wszystkie instancje objęte, management działa, konfiguracja ochrony nienaruszona, brak powrotu do starego image po recovery, wszystkie CVE przypisane do tego samego verified remediation event.
Wniosek
SSA-142885 to mocny argument, by VM nie utożsamiał liczby CVE z liczbą prac remediation. Prawidłowy model: many findings → one remediation campaign → many independently verified closures.
Powiązane na blogu
- Hitachi Cosminexus: kolejność remediacji — wiele CVE, jeden komponent
- WatchGuard: wiele CVE, jedna remediation — finding ≠ działanie naprawcze
Źródła
- Siemens ProductCERT — SSA-142885 (08.09.2026) — cert-portal.siemens.com
Nota redakcyjna: stan informacji 8 września 2026. Siemens SSA-142885 (Reyrolle 7SR5 <V2.70): jeden release zamyka 14 CVE o różnych attack paths, część odziedziczona z embedded Mongoose 7.14. Artykuł koncentruje się na rozróżnieniu remediation unit vs vulnerability unit i zachowaniu per-CVE risk context.