آسیب‌پذیری‌ها در Grid Protection Alliance openPDC و openHistorian

مأخذ: گزارش CISA Cybersecurity Advisories. بر طبق این گزارش، نسخه‌های زیر تحت تأثیر قرار دارند (نسخه‌ها و شناسه‌های CVE عیناً از منبع نقل شده‌اند):

- openPDC <2.9.477, <2.9.482 — CVE-2026-104629, CVE-2026-100730, CVE-2026-105281, CVE-2026-85479, CVE-2026-101022
- openPDC (Docker image) <2.9.477, <2.9.482 — CVE-2026-104629, CVE-2026-100730, CVE-2026-105281, CVE-2026-85479, CVE-2026-101022, CVE-2026-105278
- openHistorian <2.8.580, <2.8.585 — CVE-2026-104629, CVE-2026-100730, CVE-2026-105281, CVE-2026-85479, CVE-2026-101022

خلاصه نقاط کلیدی فنی (بر اساس گزارش):
- تنوع ضعف‌ها: Deserialization of Untrusted Data (CWE-502)، Missing Authentication for Critical Function (CWE-306)، Server-Side Request Forgery (SSRF)، استفاده از credentials ثابت، و Unsafe Reflection. این ضعف‌ها در مجموع ریسک‌های مهمی برای سامانه‌های زیرساخت انرژی ایجاد می‌کنند.
- CVSS: در گزارش، امتیازهای بحرانی برای برخی موارد اعلام شده‌اند (تا CVSS v3 9.8 برای مجموعه‌ای از آسیب‌پذیری‌ها).
- نمونه‌های اختصاصی:
- CVE-2026-100730: یک رابط کنسول سرویس داده‌ای را که داده‌های سریالی‌شدهِ ارسالیِ کلاینت را بازسازی می‌کند تحت‌تأثیر قرار می‌دهد؛ در محیط‌هایی بدون Windows Authentication، این آسیب‌پذیری از شبکه بدون احراز هویت قابل بهره‌جویی است و می‌تواند منجر به اجرای کد از راه دور شود.
- CVE-2026-105281: ناشر داخلی داده در openPDC در پیکربندی پیش‌فرض بدون احراز هویت ارتباط می‌پذیرد؛ مهاجم شبکه‌ای می‌تواند توپولوژی دستگاه و اندازه‌گیری‌ها را بازیابی کند.
- CVE-2026-85479: ناشر داده مبتنی بر STTP در پیکربندی پیش‌فرض ارتباط بدون احراز هویت می‌پذیرد و مهاجم می‌تواند با آن تبادل داده کند.
- CVE-2026-101022: قابلیت اتصال Modbus به مقصدی که توسط فراخوان‌دهنده مشخص می‌شود، بدون محدودیت به مقصدهای داخلی اجازه می‌دهد و می‌تواند برای نقشه‌برداری شبکه داخلی مورد سوءاستفاده قرار گیرد.

اقدامات توصیه‌شده و وضعیت رفع (براساس اطلاعیه فروشنده در گزارش):
- به‌روزرسانی‌ها: Grid Protection Alliance اعتبارسنجی اضافی در منطق سریال‌سازی اضافه کرده است؛ نسخه‌های رفع شده عبارت‌اند از openPDC نسخه 2.9.482 و بالاتر و openHistorian نسخه 2.8.585 و بالاتر. اپراتورها باید به این نسخه‌ها ارتقا دهند.
- پیکربندی پیش‌فرض: فروشنده پیش‌فرض برخی رابط‌های آسیب‌پذیر را طوری تغییر داده که تنها به loopback متصل شوند؛ این تغییر تنها در نصب‌های جدید اعمال شده و نسخه‌های ارتقا‌یافته به‌طور خودکار این تنظیم را دریافت نمی‌کنند. بنابراین اپراتورها باید صریحاً پیکربندی فعلی را بررسی و در صورت لزوم binding را به loopback محدود کنند.
- برای تصاویر Docker: فروشنده اعلام کرده است که ارائه تصاویر Docker را برای محیط تولید توصیه نمی‌کند و برای برخی آسیب‌پذیری‌ها هیچ اصلاحی در تصویر Docker منتشر نشده است. اپراتورها باید از استفاده تولیدی این تصاویر خودداری کنند یا تصویر امن‌سازی‌شدهٔ خود را بسازند.
- کاهش‌خطر Modbus (CVE-2026-101022): محدود کردن دسترسی شبکه به سرویس Modbus با فایروال و جلوگیری از اتصال به آدرس‌های loopback و بلوک‌های آدرس خصوصی (RFC 1918) مگر در صورت نیاز صریح.

خلاصه تحلیلی مستقل (بدون حدس‌زدن فراتر از منبع):
این مجموعه آسیب‌پذیری‌ها ترکیبی از نقایص پیاده‌سازی (مثلاً سریال‌سازی ناایمن و reflection) و پیکربندی‌های پیش‌فرض ناایمن (پذیرش ارتباطات بدون احراز هویت روی اینترفیس‌های شبکه) را نشان می‌دهد که در محصولات مورد استفاده در زیرساخت‌های حیاتی انرژی خطر بالا ایجاد می‌کند. اهمیت موضوع را افزایش می‌دهد که برخی از بردارها می‌توانند منجر به اجرای کد از راه دور یا افشای توپولوژی داخلی شوند، و اینکه اصلاحات برای نصب‌های موجود ممکن است مستلزم اقدام دستی (بررسی و تغییر bindingها) باشد. همچنین عدم انتشار اصلاح برای تصاویر Docker، خطراتی را برای سازمان‌هایی که از آن تصاویر در محیط تولید استفاده می‌کنند، برجسته می‌سازد.

تذکر نهایی: اطلاعات این مطلب براساس گزارش CISA Cybersecurity Advisories گردآوری و خلاصه شده است؛ برای جزئیات فنی و متون کامل CVEها به منبع اصلی مراجعه کنید.