Hitachi Energy Asset Suite — آسیب‌پذیری‌های دسترسی servlet بدون احراز هویت (CVE-2026-7395, CVE-2026-11796)
بازنشر advisory شرکت Hitachi Energy در وب‌سایت CISA: نسخه‌های Asset Suite تا و از جمله 9.9.0 تحت‌تأثیر دو آسیب‌پذیری مهم هستند که امکان دسترسی غیرمجاز به servletها و احتمال افشای اطلاعات یا ایجاد اختلال در دسترسی را فراهم می‌کنند.
منبع: بازنشر Hitachi Energy PSIRT در وب‌سایت CISA. این خلاصه بر پایه اطلاعات منتشرشده در آن advisory تهیه شده و توضیحات طولانیِ متن کپی‌رایت‌شده مستقیماً ترجمه نشده است.
چه چیزی گزارش شده
- محصولات تحت‌تأثیر: Hitachi Energy Asset Suite نسخه‌های Asset_Suite/<=9.9.0 (مشخص‌شده در advisory).
- CVEها: CVE-2026-7395 و CVE-2026-11796 (اسامی و شناسه‌ها عیناً از منبع حفظ شده‌اند).
خلاصه فنی از منبع
- CVE-2026-7395: دسترسی بدون احراز هویت به HTTPPublishAdapterTestServlet که می‌تواند برای بارگذاری فایل پیکربندی استفاده شود؛ پیامدها شامل افشای اطلاعات و تخریب یکپارچگی است. (CVSS v3.1: 8.1 HIGH — CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N)
- CVE-2026-11796: دسترسی بدون احراز هویت به PropertiesReloadServlet، CacheFlushServlet، MetadataCacheFlushServlet و ResourceBundleReloadServlet که می‌تواند منجر به اختلال یا کاهش دسترس‌پذیری (DoS) شود. (CVSS v3.1: 4.3 MEDIUM)
- رده‌بندی مرتبط: CWE-306 Missing Authentication for Critical Function.
- گزارش‌دهنده اولیه: EDF (ذکر شده در advisory).
تمهیدات پیشنهادی (ذکرشده توسط تولیدکننده/CISA)
- اصلاح پیشنهادی تولیدکننده: به‌روزرسانی/ارتقاء به Asset Suite 9.9.1 هنگام در دسترس قرار گرفتن.
- کاهش‌خطر فوری: غیرفعال‌سازی servletهای آسیب‌پذیر (از جمله HTTPPublishAdapterTestServlet) و بازبینی نیازمندی استفاده از سایر servletهای مدیریتی در محیط تولید.
- توصیه‌های عمومی CISA برای سیستم‌های کنترل صنعتی: حذف دسترسی مستقیم از اینترنت، جداسازی شبکه‌های کنترل از شبکه‌های کسب‌وکار، قرار دادن پشت فایروال مناسب، و استفاده محتاطانه از روش‌های دسترسی از راه دور (مثلاً VPN) همراه با تحلیل ریسک.
خلاصه تحلیلی مستقل (مختصر)
- شدت و اولویت: CVE-2026-7395 دارای نمره بالاتری است و به‌دلیل امکان بارگذاری پیکربندی توسط کاربر غیرمجاز می‌تواند هم محرمانگی و هم یکپارچگی داده‌ها را به‌طور جدی تحت‌تأثیر قرار دهد؛ بنابراین باید در اولویت رفع قرار گیرد. CVE-2026-11796 ریسک متوسط تا قابل‌توجهی در ایجاد اختلال عملکرد/عدم دسترسی دارد و بسته به پیکربندی می‌تواند خطر عملیاتی برای محیط‌های ICS/انرژی ایجاد کند.
- اقدامات فوری پیشنهادی برای مدیران فنی: 1) دسترسی شبکه‌ای به دستگاه/برنامه را محدود کنید و سرویس‌ها را از اینترنت بردارید؛ 2) servletهای آزمایشی/مدیریتی را تا رفع مشکل غیرفعال کنید؛ 3) برنامه‌ریزی برای به‌روزرسانی به Asset Suite 9.9.1 هنگام انتشار رسمی؛ 4) لاگ‌ها و ترافیک مرتبط را برای رفتارهای مشکوک پایش و در صورت مشاهده حمله، گزارش کنید.
ملاحظات حقوقی و تکمیلی
- این خبر بر پایه بازنشر advisory شرکت Hitachi Energy در وب‌سایت CISA تهیه شده است. برای جزئیات فنی کامل و تعهدات قانونی به advisory اصلی Hitachi Energy/CISA مراجعه کنید و برای پشتیبانی فنی با تیم پشتیبانی Hitachi Energy تماس بگیرید.