Vulnerabilità · 4 ore fa
Trimble ha confermato lo sfruttamento attivo di CVE-2025-0994 in Cityworks, usato per ottenere accessi non autorizzati alle reti dei clienti tramite server Microsoft IIS. La falla riguarda Cityworks prima della versione 15.8.9 e Cityworks con Office Companion prima della 23.10; il 7 febbraio 2025 CISA l’ha inserita nel catalogo KEV.
Il problema è nella deserializzazione: Cityworks ricostruisce oggetti a partire da dati serializzati, ma un utente autenticato può fornire dati manipolati che inducono il server a eseguire codice scelto dall’attaccante invece di ripristinare l’oggetto previsto. L’esecuzione di codice sul server IIS può trasformarlo in un punto d’ingresso nella rete.
Cityworks supporta enti locali, utility, aeroporti e servizi di lavori pubblici: l’esposizione quindi non si limita all’applicazione GIS. La compromissione dell’host può mettere a rischio altre risorse di rete raggiungibili, ma le fonti non confermano che siano stati compromessi anche sistemi operativi.
Sfruttamento noto · CISA KEV
CVSS 8.8 HIGH: trimble Cityworks versions prior to 15.8.9 and Cityworks with office companion versions prior to 23.10 are vulnerable to a deserialization vulnerability. EPSS 31% (98º percentile).
Data di correzione federale CISA 28 feb · data superata
1 fonte che coprono questa storia
FortiGuard Labs Threat Signals
Threat Signal Report | FortiGuard Labs
What is the Attack?Trimble Cityworks contains a deserialization vulnerability.
Riepilogo fornitore: Microsoft
Part of the PlainSec briefing for 2026-10-23