Hitachi Energy a identificat mai multe vulnerabilități critice în dispozitivele sale din seriile AFS și AFR, în special versiunile AFS650 (9.1.08 și anterioare), AFS660-C (7.1.05 și anterioare), AFS665-B (7.1.05 și anterioare), AFS670-V2 (7.1.05 și anterioare), AFS670 (9.1.08 și anterioare), AFS675 (9.1.08 și anterioare), AFS677 (9.1.08 și anterioare) și AFR677 (9.1.08 și anterioare). Vulnerabilitățile includ Type Confusion, Use After Free, Double Free și Observable Discrepancy. Exploatarea cu succes ar putea duce la o stare de negare a serviciului, afectând disponibilitatea sistemelor afectate.
Produse
AFS650
Versiune: 9.1.08 și anterioare
Vendor: Hitachi Energy
CVEs: CVE-2023-0286, CVE-2022-4450, CVE-2022-4304, CVE-2023-0215
AFS660-C
Versiune: 7.1.05 și anterioare
Vendor: Hitachi Energy
CVEs: CVE-2023-0286, CVE-2022-4450, CVE-2022-4304, CVE-2023-0215
AFS665-B
Versiune: 7.1.05 și anterioare
Vendor: Hitachi Energy
CVEs: CVE-2023-0286, CVE-2022-4450, CVE-2022-4304, CVE-2023-0215
AFS670-V2
Versiune: 7.1.05 și anterioare
Vendor: Hitachi Energy
CVEs: CVE-2023-0286, CVE-2022-4450, CVE-2022-4304, CVE-2023-0215
AFS670
Versiune: 9.1.08 și anterioare
Vendor: Hitachi Energy
CVEs: CVE-2023-0286, CVE-2022-4450, CVE-2022-4304, CVE-2023-0215
AFS675
Versiune: 9.1.08 și anterioare
Vendor: Hitachi Energy
CVEs: CVE-2023-0286, CVE-2022-4450, CVE-2022-4304, CVE-2023-0215
AFS677
Versiune: 9.1.08 și anterioare
Vendor: Hitachi Energy
CVEs: CVE-2023-0286, CVE-2022-4450, CVE-2022-4304, CVE-2023-0215
AFR677
Versiune: 9.1.08 și anterioare
Vendor: Hitachi Energy
CVEs: CVE-2023-0286, CVE-2022-4450, CVE-2022-4304, CVE-2023-0215
Vulnerabilități
Confuzie de tip
CVE: CVE-2023-0286
Scor CVSSv3: 7.4 - Ridicat
CWE: CWE-843
Descriere: Există o vulnerabilitate de tip confuzie referitoare la procesarea adreselor X.400 în interiorul unui GeneralName X.509. Adresele X.400 au fost analizate ca un ASN1_STRING, dar definiția structurii publice pentru GENERAL_NAME a specificat în mod incorect tipul câmpului x400Address ca ASN1_TYPE.
Impact: Exploatarea cu succes a acestei vulnerabilități ar putea permite unui atacator să creeze o condiție de negare a serviciului.
Mitigare: Actualizați la cea mai recentă versiune de firmware, astfel cum este specificat de Hitachi Energy.
Utilizare după liber
CVE: CVE-2023-0215
Scor CVSSv3: 7.5 - Ridicat
CWE: CWE-416
Descriere: Funcția publică API BIO_new_NDEF este o funcție de ajutor utilizată pentru transmiterea datelor ASN.1 prin intermediul unui BIO. Aceasta este utilizată în primul rând la nivel intern de OpenSSL pentru a sprijini capacitățile de streaming SMIME, CMS și PKCS7, dar poate fi, de asemenea, apelată direct de aplicațiile utilizatorului final.
Impact: Exploatarea cu succes a acestei vulnerabilități ar putea permite unui atacator să creeze o condiție de negare a serviciului.
Mitigare: Actualizați la cea mai recentă versiune de firmware, astfel cum este specificat de Hitachi Energy.
Double Free
CVE: CVE-2022-4450
Scor CVSSv3: 7.5 - ridicat
CWE: CWE-415
Descriere: Funcția PEM_read_bio_ex() citește un fișier PEM dintr-un BIO și analizează și decodifică “numele” (de exemplu, “CERTIFICATE”), orice date din antet și datele din sarcina utilă. În cazul în care funcția reușește, argumentele “name_out”, “header” și “data” sunt completate cu pointeri către tampoane care conțin datele decodate relevante.
Impact: Exploatarea cu succes a acestei vulnerabilități ar putea permite unui atacator să creeze o situație de negare a serviciului.
Mitigare: Actualizați la cea mai recentă versiune de firmware specificată de Hitachi Energy.
Discrepanță observabilă
CVE: CVE-2022-4304
Scor CVSSv3: 5.9 - Mediu
CWE: CWE-203
Descriere: Există un canal secundar bazat pe sincronizare în implementarea de decriptare RSA OpenSSL care ar putea fi suficient pentru a recupera un text clar printr-o rețea într-un atac de tip Bleichenbacher. Pentru a realiza o decriptare reușită, un atacator ar trebui să poată trimite un număr foarte mare de mesaje de încercare pentru decriptare. Vulnerabilitatea afectează toate modurile de padding RSA: PKCS#1 v1.5, RSA-OEAP și RSASVE.
Impact: Exploatarea cu succes a acestei vulnerabilități ar putea permite unui atacator să creeze o condiție de negare a serviciului.
Mitigare: Actualizați la cea mai recentă versiune de firmware specificată de Hitachi Energy.
Concluzie
Hitachi Energy a lansat actualizări de firmware pentru a rezolva aceste vulnerabilități. Utilizatorii sunt insistent sfătuiți să își actualizeze dispozitivele la cele mai recente versiuni de firmware: AFS650 la versiunea 9.1.10, AFS660-C, AFS665-B, și AFS670-V2 la versiunea 7.1.08, și AFS670, AFS675, AFS677, și AFR677 la versiunea 9.1.10. În plus, punerea în aplicare a practicilor de securitate recomandate, cum ar fi reducerea la minimum a expunerii la rețea, utilizarea firewall-urilor și utilizarea unor metode sigure de acces de la distanță, cum ar fi VPN-urile, poate reduce și mai mult riscurile. Organizațiile ar trebui, de asemenea, să efectueze analize de impact și evaluări de risc adecvate înainte de implementarea acestor măsuri defensive. Deocamdată, nu a fost raportată la CISA nicio exploatare publică a acestor vulnerabilități.
Referințe
Pe Threat Spotting apar articole identificate de specialiști în securitate cibernetică și simplificate prin inteligență artificială (AI). De aceea, e bine să consultați sursele oficiale întrucât tehnologiile AI curente pot genera informații incomplete sau parțial adevărate. Citește mai multe despre proiect aici.
