## Hitachi Energy GMS600 vulnérable à une attaque temporelle OpenSSL Une vulnérabilité a été identifiée dans le produit GMS600 de **Hitachi Energy**, découlant d'une faille dans le composant **OpenSSL**. La vulnérabilité, référencée sous **CVE-2022-4304**, pourrait permettre aux attaquants de déchiffrer potentiellement des données sensibles. [Voir CSAF](https://github.com/cisagov/CSAF/blob/develop/csaf_files/OT/white/2026/icsa-26-141-01.json) ### Détails de la vulnérabilité Le problème principal réside dans l'implémentation du déchiffrement RSA d'**OpenSSL**. Un attaquant pourrait exploiter un canal auxiliaire basé sur le temps pour récupérer du texte brut sur un réseau en utilisant une attaque de type Bleichenbacher. Cela nécessite à l'attaquant d'envoyer un grand nombre de messages d'essai pour le déchiffrement et d'enregistrer méticuleusement le temps de traitement pour chacun. Une exploitation réussie permet la récupération du secret pré-maître utilisé pour la connexion d'origine, déchiffrant ainsi les données d'application transmises sur cette connexion. La vulnérabilité affecte tous les modes de padding RSA, y compris PKCS#1 v1.5, RSA-OEAP et RSASVE. ### Produits affectés * **Vendeur :** Hitachi Energy * **Produit :** GMS600 * **Versions affectées :** 1.3.0 et 1.3.1 * **Statut :** Affecté connu ### Détails techniques * **Score CVSS v3 :** 5.9 * **CWE :** [CWE-203 Observable Discrepancy](https://cwe.mitre.org/data/definitions/203.html) ### Impact L'exploitation réussie de cette vulnérabilité pourrait entraîner le déchiffrement de données d'application sensibles, compromettant potentiellement la confidentialité des communications. ### Atténuation Bien que des correctifs ou mises à jour spécifiques ne soient pas détaillés dans cet extrait d'avis, des facteurs d'atténuation généraux sont fournis : * **Segmentation réseau :** Isolez les systèmes de contrôle de processus de l'internet et des réseaux d'entreprise à l'aide de pare-feu. * **Contrôle d'accès :** Appliquez une liste blanche stricte des adresses IP entrantes et une limitation du débit du trafic. * **Sécurité physique :** Protégez les systèmes de contrôle de processus contre tout accès physique non autorisé. * **Accès à distance sécurisé :** Lorsque l'accès à distance est nécessaire, utilisez des méthodes sécurisées comme les VPN (assurez-vous que les VPN sont mis à jour vers les dernières versions). * **Sensibilisation à la sécurité :** Interdisez la navigation sur Internet, la messagerie instantanée et l'accès par e-mail sur les systèmes de contrôle de processus. * **Analyse des malwares :** Analysez soigneusement les ordinateurs portables et les supports de stockage amovibles à la recherche de virus avant de les connecter à un système de contrôle. ### Signalement L'équipe interne de **Hitachi Energy** a signalé cette vulnérabilité à la **CISA**. ### Informations supplémentaires Pour plus de détails et d'assistance, contactez votre fournisseur de produit ou l'organisation de service de **Hitachi Energy**. Les informations de contact sont disponibles sur [https://www.hitachienergy.com/contact-us/](https://www.hitachienergy.com/contact-us/). ### Clause de non-responsabilité Ces informations sont sujettes à modification sans préavis et ne doivent pas être interprétées comme un engagement de **Hitachi Energy**. ### Historique des révisions | Date | Révision | Résumé | | ---------- | -------- | --------------------------------------------------------------------- | | 2023-06-27 | 1 | Première publication publique. | | 2026-04-28 | 2 | Version corrigée mise à jour. | | 2026-05-21 | 3 | Première republication par la **CISA** de l'avis **Hitachi Energy** PSIRT 8DBD000159 |