INCIBE opisuje dziewięć podatności w produktach Hitachi Energy, w tym cztery krytyczne
- Rodzaj
- Streszczenie
- Data
- Kategoria
- Incydenty
- Redakcja
- Paweł Rosół
- Źródło
- INCIBE-CERT (avisos SCI) ()
INCIBE-CERT ostrzega przed dziewięcioma podatnościami w Asset Suite, SOI i RTU500 firmy Hitachi Energy. Cztery mają ocenę krytyczną, a dla starszych wersji RTU500 nie ma już aktualizacji bezpieczeństwa.
INCIBE-CERT opublikował 7 października 2026 r. ostrzeżenie o dziewięciu podatnościachPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. w produktach Hitachi Energy: Asset Suite w wersjach 9.9.0 i starszych, SOI od wersji 2.0.0 do 2.2.0 włącznie oraz RTU500 Series CMU Firmware w wersjach 11.x i starszych. Cztery podatności mają ocenę krytyczną, trzy wysoką, dwie średnią. Według INCIBE ich wykorzystanie mogłoby umożliwić nieuprawniony dostęp, wykonanie poleceń, modyfikację plików lub firmware, ujawnienie informacji i odmowę usługi. Dwie podatności zgłosiło EDF, sześć Dragos, a jedną opublikował Hitachi Energy.
Wszystkie cztery krytyczne dotyczą RTU500. CVE-2026-8065 to obejście uwierzytelniania w punkcie dostępu służącym do aktualizacji firmware: zdalny, nieuwierzytelniony atakujący mógłby wysłać spreparowane żądanie POST i wgrać dowolny firmware. CVE-2026-8066 to path traversal w funkcji wgrywania plików, który pozwalałby zapisywać lub nadpisywać pliki w systemie. CVE-2010-2965 dotyczy usługi debugowania WDB z VxWorks w starszych wersjach RTU500, dostępnej przez port UDP 17185. CVE-2014-9195 to brak uwierzytelniania w niektórych protokołach starszych wersji RTU500, co pozwalałoby wykonywać polecenia bez poświadczeń. INCIBE nie oznacza żadnej z siedmiu opisanych szczegółowo podatności jako wykorzystywanej.
Trzy podatności o wysokiej ocenie to CVE-2026-7395, CVE-2026-34197 i CVE-2023-46143. Pierwsza to brak uwierzytelniania w HTTPPublishAdapterTestServlet w Asset Suite, przez który nieuwierzytelniony atakujący mógłby wgrywać pliki konfiguracyjne, uzyskać informacje lub zmienić dane. Druga to wstrzyknięcie kodu w komponencie ActiveMQ używanym przez SOI, co mogłoby dać wykonanie kodu z uprawnieniami usługi. Trzecia to brak kontroli integralności przy pobieraniu kodu, który pozwalałby zdalnie zmienić aplikacje w niektórych sterownikachSterownik PLC Programmable Logic Controller: przemysłowy komputer, który według zapisanego programu bezpośrednio steruje pompą, zaworem albo silnikiem.. Podatnościom o średniej ocenie przypisano CVE-2026-11796 i CVE-2026-8067.
Jeśli używasz któregoś z tych produktów, sprawdź wersję. Dla Asset Suite INCIBE wskazuje aktualizację do wersji 9.9.1, gdy będzie dostępna. Do tego czasu zaleca wyłączyć HTTPPublishAdapterTestServlet i rozważyć wyłączenie PropertiesReloadServlet, CacheFlushServlet, MetadataCacheFlushServlet oraz ResourceBundleReloadServlet, jeśli nie są potrzebne. W SOI należy zainstalować poprawkę SOI EP2, która aktualizuje ActiveMQ do wersji 5.19.5. W RTU500 trzeba przejść na wersję 12.7.8, 13.9.1 lub nowszą zgodną, bo wersje 11.x i starsze osiągnęły koniec życia i nie dostają aktualizacji bezpieczeństwa.
Pojęcia w tym tekście (2)
- Podatność
- Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
- Sterownik PLC
- Programmable Logic Controller: przemysłowy komputer, który według zapisanego programu bezpośrednio steruje pompą, zaworem albo silnikiem.