## Hitachi Energy GMS600 Vulnerável a Ataque de Tempo do OpenSSL A Hitachi Energy está corrigindo uma vulnerabilidade, **CVE-2022-4304**, no componente **OpenSSL** que afeta versões específicas de seu produto GMS600. Uma exploração bem-sucedida poderia permitir que um atacante descriptografasse dados da aplicação recuperando o segredo pré-mestre através de análise de tempo. [Ver CSAF](https://github.com/cisagov/CSAF/blob/develop/csaf_files/OT/white/2026/icsa-26-141-01.json) ### Detalhes da Vulnerabilidade O problema central reside na implementação de decriptografia RSA do **OpenSSL**. Um atacante poderia explorar um canal lateral baseado em tempo para recuperar texto plano através de uma rede usando um ataque do tipo Bleichenbacher. Isso exige que o atacante envie um grande número de mensagens de teste para decriptografia e registre meticulosamente o tempo de processamento de cada uma. A exploração bem-sucedida permite a recuperação do segredo pré-mestre usado para a conexão original, descriptografando assim os dados da aplicação transmitidos nessa conexão. A vulnerabilidade afeta todos os modos de padding RSA, incluindo PKCS#1 v1.5, RSA-OEAP e RSASVE. ### Produtos Afetados * **Fabricante:** Hitachi Energy * **Produto:** GMS600 * **Versões Afetadas:** 1.3.0 e 1.3.1 * **Status:** Afetado Conhecido ### Detalhes Técnicos * **Pontuação CVSS v3:** 5.9 * **CWE:** [CWE-203 Discrepância Observável](https://cwe.mitre.org/data/definitions/203.html) ### Impacto A exploração bem-sucedida desta vulnerabilidade pode levar à descriptografia de dados sensíveis da aplicação, potencialmente comprometendo a confidencialidade das comunicações. ### Mitigação Embora patches ou atualizações específicas não sejam detalhados neste trecho do aviso, fatores gerais de mitigação são fornecidos: * **Segmentação de Rede:** Isole sistemas de controle de processo da internet e redes corporativas usando firewalls. * **Controle de Acesso:** Aplique rigorosa lista de permissão de IPs de entrada e limitação de taxa de tráfego. * **Segurança Física:** Proteja sistemas de controle de processo contra acesso físico não autorizado. * **Acesso Remoto Seguro:** Quando o acesso remoto for necessário, utilize métodos seguros como VPNs (garanta que as VPNs estejam atualizadas para as versões mais recentes). * **Conscientização de Segurança:** Proíba navegação na internet, mensagens instantâneas e acesso a e-mail em sistemas de controle de processo. * **Verificação de Malware:** Escaneie cuidadosamente computadores portáteis e mídias de armazenamento removíveis em busca de vírus antes de conectá-los a um sistema de controle. ### Relatório A Equipe Interna da **Hitachi Energy** relatou esta vulnerabilidade à **CISA**. ### Informações Adicionais Para mais detalhes e suporte, entre em contato com seu provedor de produto ou organização de serviço da **Hitachi Energy**. Informações de contato podem ser encontradas em [https://www.hitachienergy.com/contact-us/](https://www.hitachienergy.com/contact-us/). ### Aviso Legal Esta informação está sujeita a alterações sem aviso prévio e não deve ser interpretada como um compromisso da **Hitachi Energy**. ### Histórico de Revisão | Data | Revisão | Resumo | | ---------- | ------- | --------------------------------------------------------------------- | | 2023-06-27 | 1 | Lançamento público inicial. | | 2026-04-28 | 2 | Versão corrigida atualizada. | | 2026-05-21 | 3 | Republicação inicial da **CISA** do aviso da PSIRT 8DBD000159 da **Hitachi Energy** |