Ver CSAF
1. Resumen ejecutivo
CVSS V4 7.1
ATENCIÓN: Explotable de forma remota/baja complejidad de ataque
Proveedor: Energía de Hitachi
Equipo: Microscada x sys600
Vulnerabilidades: Permisos predeterminados incorrectos, control externo del nombre o ruta del archivo, validación inadecuada del valor de verificación de integridad, exposición de información confidencial a través de consultas de datos, validación de certificado incorrecto
2. Evaluación de riesgos
La explotación exitosa de estas vulnerabilidades podría permitir que un atacante manipule el archivo del sistema, sobrescribe los archivos, cree una condición de denegación de servicio o contenido de archivo de fuga.
3. Detalles técnicos
3.1 Productos afectados
Hitachi Energy informa que los siguientes productos se ven afectados:
Hitachi Energy Microscada Pro/X Sys600: Versión 10.0 hasta 10.6 (CVE-2025-39201, CVE-2025-39202, CVE-2025-39204, CVE-2025-39205)
Hitachi Energy Microscada Pro/X Sys600: Versión 10.5 hasta 10.6 (CVE-2025-39203)
Hitachi Energy Microscada Pro/X Sys600: Versión 10.3 hasta 10.6 (CVE-2025-39205)
3.2 Descripción general de vulnerabilidad
3.2.1 Permisos incorrectos de valor predeterminado CWE-276
Existe una vulnerabilidad en la funcionalidad MailSlot del producto Microscada X Sys600. Si se explota, esto podría permitir que un atacante local altere el archivo de configuración de Mailslot, lo que hace que la negación de Mailslot sea un servicio relacionado.
CVE-2025-39201 ha sido asignado a esta vulnerabilidad. Se ha calculado una puntuación base CVSS v3.1 de 6.1; La cadena de vector CVSS es (CVSS: 3.1/AV: L/AC: L/PR: L/UI: N/S: U/C: N/I: L/A: H).
También se ha calculado una puntuación CVSS V4 para CVE-2025-39201. Se ha calculado una puntuación base de 6.9; La cadena de vector CVSS es (CVSS: 4.0/AV: L/AC: L/AT: N/PR: L/UI: N/VC: N/VI: L/VA: H/SC: N/SI: N/SA: L: L: L: L).
3.2.2 Control externo del nombre del archivo o ruta CWE-73
Existe una vulnerabilidad en Monitor Pro y el registro de supervisión del producto Microscada X Sys600. El usuario local y autenticado de bajo privilegio puede ver y sobrescribir archivos que causan fuga de información y corrupción de datos.
CVE-2025-39202 ha sido asignado a esta vulnerabilidad. Se ha calculado una puntuación base CVSS v3.1 de 7.3; La cadena de vector CVSS es (CVSS: 3.1/AV: L/AC: L/PR: L/UI: N/S: U/C: L/I: H/A: H).
También se ha calculado una puntuación CVSS V4 para CVE-2025-39202. Se ha calculado una puntuación base de 8.3; La cadena de vector CVSS es (CVSS: 4.0/AV: L/AC: L/AT: N/PR: L/UI: N/VC: L/VI: H/VA: H/SC: N/SI: H/SA: H: H: H:).
3.2.3 Validación inadecuada del valor de verificación de integridad CWE-354
El contenido de mensajes diseñados de IED o sistema remoto puede causar la negación de servicio, lo que resulta en el bucle de desconexión.
CVE-2025-39203 ha sido asignado a esta vulnerabilidad. Se ha calculado una puntuación base CVSS v3.1 de 6.5; La cadena de vector CVSS es (CVSS: 3.1/AV: N/AC: L/PR: L/UI: N/S: U/C: N/I: N/A: H).
También se ha calculado una puntuación CVSS V4 para CVE-2025-39203. Se ha calculado una puntuación base de 8.3; La cadena de vector CVSS es (CVSS: 4.0/AV: N/AC: L/AT: N/PR: L/UI: N/VC: N/VI: N/VA: H/SC: N/SI: N/SA: H: H:).
3.2.4 Exposición de información confidencial a través de consultas de datos CWE-202
La consulta de filtrado en Microscada X SYS600 se puede malformar, por lo que devolver los datos puede filtrar cualquier contenido del archivo.
CVE-2025-39204 ha sido asignado a esta vulnerabilidad. Se ha calculado una puntuación base CVSS v3.1 de 6.5; La cadena de vector CVSS es (CVSS: 3.1/AV: N/AC: L/PR: L/UI: N/S: U/C: H/I: N/A: N).
También se ha calculado una puntuación CVSS V4 para CVE-2025-39204. Se ha calculado una puntuación base de 8.5; La cadena de vector CVSS es (CVSS: 4.0/AV: N/AC: L/AT: N/PR: L/UI: N/VC: H/VI: N/VA: N/SC: H/SI: H/SA: H: H:).
3.2.5 Validación de certificado incorrecto CWE-295
Existe una vulnerabilidad en el sistema de validación de certificados Microscada X SYS600. El protocolo TLS estaba permitiendo un ataque remoto de hombre en el medio debido a que daba demasiados permisos.
CVE-2025-39205 ha sido asignado a esta vulnerabilidad. Se ha calculado una puntuación base CVSS v3.1 de 6.5; La cadena de vector CVSS es (CVSS: 3.1/AV: N/AC: L/PR: L/UI: N/S: U/C: H/I: N/A: N).
También se ha calculado una puntuación CVSS V4 para CVE-2025-39205. Se ha calculado una puntuación base de 8.3; La cadena de vector CVSS es (CVSS: 4.0/AV: N/AC: L/AT: N/PR: L/UI: N/VC: H/VI: N/VA: N/SC: H/SI: N/SA: N).
3.3 Antecedentes
Sectores de infraestructura crítica: Energía
Países/áreas desplegadas: Mundial
Ubicación de la sede de la empresa: Suiza
3.4 investigador
Hitachi Energy PSIRT informó estas vulnerabilidades a CISA.
4. Mitigaciones
Hitachi Energy ha identificado las siguientes soluciones y mitigaciones específicas que los usuarios pueden aplicar para reducir el riesgo:
(CVE-2025-39201, CVE-2025-39202, CVE-2025-39204) Versiones de Hitachi Energy Microscada x Sys600 de 10.0 a 10.6: Actualización a la versión 10.7
(CVE-2025-39203) Versiones de Hitachi Energy Microscada X SYS600 de 10.5 a 10.6: Actualización a la versión 10.7
(CVE-2025-39205) Versiones de Hitachi Energy Microscada X SYS600 de 10.3 a 10.6: Actualización a la versión 10.7
Se han solucionado las siguientes versiones del producto:
Microscada x Sys600 10.7 es una versión fija para CVE-2025-39201
Microscada x Sys600 10.7 es una versión fija para CVE-2025-39202
Microscada x Sys600 10.7 es una versión fija para CVE-2025-39203
Microscada x Sys600 10.7 es una versión fija para CVE-2025-39204
Microscada X Sys600 10.7 es una versión fija para CVE-2025-39205
Para obtener más información, consulte el Asesoramiento de seguridad de Hitachi Energy PSIRS asociado 8DBD000218 Aviso de ciberseguridad: vulnerabilidades múltiples en el producto Hitachi Energy Microscada Pro/X SYS600.
CISA recomienda que los usuarios tomen medidas defensivas para minimizar el riesgo de explotación de estas vulnerabilidades, como:
Minimizar la exposición de la red para todos los dispositivos y/o sistemas del sistema de control, asegurando que sean No es accesible desde Internet.
Localice las redes de sistemas de control y los dispositivos remotos detrás de los firewalls y aislarlos de las redes comerciales.
Cuando se requiere acceso remoto, use métodos más seguros, como redes privadas virtuales (VPN). Reconocer VPN puede tener vulnerabilidades, debe actualizarse a la versión más reciente disponible y son tan seguras como los dispositivos conectados.
CISA recuerda a las organizaciones que realicen un análisis de impacto adecuado y una evaluación de riesgos antes de implementar medidas defensivas.
CISA también proporciona una sección para Control Sistemas Seguridad Prácticas recomendadas en la página web de ICS en cisa.gov. Varios productos de CISA que detallan las mejores prácticas de defensa cibernética están disponibles para leer y descargar, incluida Mejora de los sistemas de control industrial Ciberseguridad con estrategias de defensa en profundidad.
CISA alienta a las organizaciones a implementar estrategias recomendadas de ciberseguridad para Defensa proactiva de los activos del ICS.
La orientación de mitigación adicional y las prácticas recomendadas están disponibles públicamente en la página web de ICS en cisa.gov En el documento de información técnica, ICS-TIP-12-146-01B-Detección de intrusión cibernética dirigida a estrategias.
Las organizaciones que observan sospecha de actividad maliciosa deben seguir procedimientos internos establecidos e informes de informes a CISA para el seguimiento y la correlación contra otros incidentes.
CISA también recomienda que los usuarios tomen las siguientes medidas para protegerse de los ataques de ingeniería social:
No se ha informado de explotación pública conocida específicamente estas vulnerabilidades a CISA en este momento.
5. Historial de actualización
03 de julio de 2025: Republicación inicial de Hitachi Energy Advisory 8DBD000218.