## Hitachi Energy GMS600 Vulnerable a Ataque de Temporización de OpenSSL Aplicación de **Hitachi Energy** GMS600 tiene una vulnerabilidad identificada, que se origina en una falla en el componente **OpenSSL**. La vulnerabilidad, rastreada como **CVE-2022-4304**, podría permitir a los atacantes descifrar datos sensibles. [Ver CSAF](https://github.com/cisagov/CSAF/blob/develop/csaf_files/OT/white/2026/icsa-26-141-01.json) ### Detalles de la Vulnerabilidad El problema central reside en la implementación de descifrado RSA de **OpenSSL**. Un atacante podría explotar un canal lateral basado en temporización para recuperar texto plano a través de una red utilizando un ataque de estilo Bleichenbacher. Esto requiere que el atacante envíe una gran cantidad de mensajes de prueba para el descifrado y registre meticulosamente el tiempo de procesamiento de cada uno. La explotación exitosa permite la recuperación del pre-master secret utilizado para la conexión original, descifrando así los datos de la aplicación transmitidos a través de esa conexión. La vulnerabilidad afecta a todos los modos de relleno RSA, incluidos PKCS#1 v1.5, RSA-OEAP y RSASVE. ### Productos Afectados * **Fabricante:** Hitachi Energy * **Producto:** GMS600 * **Versiones Afectadas:** 1.3.0 y 1.3.1 * **Estado:** Conocido Afectado ### Detalles Técnicos * **Puntuación CVSS v3:** 5.9 * **CWE:** [CWE-203 Discrepancia Observable](https://cwe.mitre.org/data/definitions/203.html) ### Impacto La explotación exitosa de esta vulnerabilidad podría llevar al descifrado de datos sensibles de la aplicación, comprometiendo potencialmente la confidencialidad de las comunicaciones. ### Mitigación Si bien no se detallan parches o actualizaciones específicas en este extracto del aviso, se proporcionan factores de mitigación generales: * **Segmentación de Red:** Aislar los sistemas de control de procesos de Internet y las redes empresariales utilizando firewalls. * **Control de Acceso:** Aplicar una lista blanca estricta de IPs de entrada y limitar la tasa de tráfico. * **Seguridad Física:** Proteger los sistemas de control de procesos del acceso físico no autorizado. * **Acceso Remoto Seguro:** Cuando el acceso remoto sea necesario, utilizar métodos seguros como VPNs (asegurarse de que las VPNs estén actualizadas a las últimas versiones). * **Conciencia de Seguridad:** Prohibir la navegación por Internet, la mensajería instantánea y el acceso por correo electrónico en los sistemas de control de procesos. * **Escaneo de Malware:** Escanear cuidadosamente las computadoras portátiles y los medios de almacenamiento extraíbles en busca de virus antes de conectarlos a un sistema de control. ### Reporte El Equipo Interno de **Hitachi Energy** reportó esta vulnerabilidad a **CISA**. ### Información Adicional Para obtener más detalles y soporte, contacte a su proveedor de producto u organización de servicio de **Hitachi Energy**. La información de contacto se puede encontrar en [https://www.hitachienergy.com/contact-us/](https://www.hitachienergy.com/contact-us/). ### Descargo de Responsabilidad Esta información está sujeta a cambios sin previo aviso y no debe interpretarse como un compromiso por parte de **Hitachi Energy**. ### Historial de Revisiones | Fecha | Revisión | Resumen | | ----------- | -------- | ---------------------------------------------------------------------- | | 2023-06-27 | 1 | Lanzamiento público inicial. | | 2026-04-28 | 2 | Versión corregida actualizada. | | 2026-05-21 | 3 | Republicación inicial de **CISA** del aviso **Hitachi Energy** PSIRT 8DBD000159 |