Hitachi Energy

Im Linux-Kernel wurde eine Schwachstelle im Netzwerktreiber bcmgenet behoben. Das Setzen von RBUF_EEE_EN und RBUF_PM_EN in RBUF_ENERGY_CTRL unterbrach den RX-Pfad auf GENET-Hardware; der Fix hält EEE/PM im RBUF deaktiviert. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Ubuntu behandelt die Lücke in den Sicherheitsmitteilungen USN-8576-1 und USN-8576-2 (NVIDIA Tegra), USN-8575-1, USN-8575-2 und USN-8593-1. Empfohlene Massnahme: den Kernel auf eine Version mit dem Fix aktualisieren.

WebSocket-Endpunkte eines Hitachi Energy-Produkts verfügen über keine geeigneten Authentifizierungsmechanismen. Unauthentifizierte Angreifer können unbefugte Stationsimitierung (Station Impersonation) durchführen und an das Backend gesendete Daten manipulieren. CVSS-Basiswert: 9.4 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Alle Versionen von Hitachi Vantara Pentaho Data Integration & Analytics enthalten einen JDBC-Treiber für H2-Datenbanken, der beim Erstellen einer neuen Verbindung die Ausführung externer Skripte ermöglicht. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

DJI-Drohnen übertragen DUML-Protokollnachrichten (DJI Universal Markup Language) unverschlüsselt über Bluetooth Low Energy (BLE), unter anderem beim Verbindungsaufbau eines Clients über WLAN. CVSS-Basiswert: 9.4 (Kritisch).

In Hitachi Vantara Pentaho Data Integration & Analytics wurden vor Version 10.2.0.6 (einschliesslich 9.3.x und 8.3.x) Groovy-Skripte in neu veröffentlichten PRPT-Berichten nicht eingeschränkt, was die Einbettung beliebigen Codes durch Benutzer ermöglichte. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In Hitachi Device Manager auf Windows und Linux (Komponenten Device Manager Server, Device Manager Agent und Host Data Collector) werden sensible Informationen im Klartext übertragen, was ein Abfangen ermöglicht. Betroffen sind Versionen vor 8.8.5-02. CVSS-Basiswert: 9.0 (Kritisch). Empfohlene Massnahme: Auf Version 8.8.5-02 oder neuer aktualisieren.

In Hitachi Storage Navigator und der Wartungskonsole mehrerer Hitachi Virtual Storage Platform-Modelle (G130, G150, G350, G370, G700, G900, F350, F370, F700, F900 u. a.) wurde eine Schwachstelle zur Ausführung von Remotecode (Remote Code Execution) bekannt. CVSS-Basiswert: 8.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Die WebSocket-Schnittstelle eines Hitachi Energy-Produkts schränkt die Anzahl der Authentifizierungsanfragen nicht ein. Das Fehlen von Rate-Limiting kann einem Angreifer ermöglichen, Denial-of-Service-Angriffe durchzuführen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In JP1/IT Desktop Management 2 – Manager, JP1/IT Desktop Management 2 – Operations Director sowie Job Management Partner 1/IT Desktop Management 2 unter Windows besteht eine Schwachstelle zur Ausführung von Remotecode (Remote Code Execution). CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: die vom Hersteller bereitgestellten Aktualisierungen einspielen.

Das WebSocket-Backend eines Hitachi Energy-Produkts verwendet Ladestation-Identifikatoren zur Sitzungszuordnung, erlaubt jedoch mehrere Verbindungen mit identischer Sitzungs-ID. Diese Implementierung ermöglicht vorhersehbare Session-Übernahmen. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In der Verwaltungsoberfläche (Wartungshilfsprogramm) von Hitachi Virtual Storage Platform One Block 23, 24, 26 und 28 wurde eine OS Command Injection-Schwachstelle bekannt. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In Hitachi Ops Center Common Services besteht eine Schwachstelle, die eine Umgehung der Authentifizierung erlaubt. Betroffen sind die Versionen ab 10.9.3-00 vor 11.0.2-01. Betroffen sind laut Zuordnung Produkte von Hitachi Energy und Hitachi Vantara. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 11.0.2-01 oder neuer.

In Hitachi Tuning Manager auf Windows, Linux und Solaris besteht eine Expression-Language-Injection-Schwachstelle, die eine Code-Injection erlaubt. Betroffen ist Hitachi Tuning Manager vor Version 8.8.7-00. CVSS-Basiswert: 8.6 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 8.8.7-00 oder neuer.

Der Hitachi Vantara Pentaho Business Analytics Server vor den Versionen 10.1.0.0 und 9.3.0.7, einschliesslich der Reihe 8.3.x, erlaubt es, über eine bösartige URL Inhalte in die Oberfläche des Analyzer-Plugins einzuschleusen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 10.1.0.0 bzw. 9.3.0.7 oder neuer.

Der Hitachi Vantara Pentaho Business Analytics Server vor den Versionen 10.1.0.0 und 9.3.0.7 (einschliesslich 8.3.x) erlaubt es, über eine bösartige URL Inhalte in die Oberfläche des Analyzer-Plugins einzuschleusen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf Pentaho BA Server 10.1.0.0 bzw. 9.3.0.7 oder neuer aktualisieren.

Der Pentaho Business Analytics Server von Hitachi Vantara schützt in Versionen vor 10.1.0.0 und 9.3.0.7 (einschliesslich 8.3.x) den ACL-Dienstendpunkt der Pentaho User Console nicht korrekt gegen XML External Entity Reference (XXE). CVSS-Basiswert: 7.1 (Hoch).

Hitachi Global Link Manager unter Windows enthält vor Version 8.8.7-03 eine Expression-Language-Injection-Schwachstelle, die Code-Injection ermöglicht. CVSS-Basiswert: 7.6 (Hoch). Empfohlene Massnahme: Update auf Version 8.8.7-03 oder höher.

Eine Schwachstelle durch fehlerhafte Standardberechtigungen im Hitachi Storage Plug-in für VMware vCenter erlaubt lokalen Benutzern das Lesen und Schreiben bestimmter Dateien. Betroffen ist das Plug-in von Version 04.0.0 bis einschliesslich 04.9.2. CVSS-Basiswert: 7.9 (Hoch).

Hitachi Vantara Pentaho Data Integration & Analytics in Versionen vor 9.5.0.1 und 9.3.0.5 sowie 8.3.x schränkt JNDI-Bezeichner bei der Erstellung von XActions nicht ein. Dadurch lässt sich die Kontrolle über Datenquellen auf Systemebene erlangen. CVSS-Basiswert: 8.5 (Hoch). Empfohlene Massnahme: Update auf Version 9.5.0.1 oder 9.3.0.5.

SMU-Versionen vor 14.8.7825.01 sind anfällig für unbeabsichtigte Informationsoffenlegung durch URL-Manipulation. Authentifizierte Benutzer in den administrativen Rollen Storage, Server oder der kombinierten Rolle Server+Storage können dadurch auf SMU-Konfigurationssicherungen zugreifen, die diesen Rollen eigentlich nicht zugänglich sein sollten. CVSS-Basiswert: 7.6 (Hoch). Empfohlene Massnahme: Update auf Version 14.8.7825.01 oder neuer.

SMU-Versionen vor 14.8.7825.01 sind anfällig für eine unbeabsichtigte Offenlegung von Informationen durch URL-Manipulation. Authentifizierte Nutzer in einer administrativen Storage-Rolle können dadurch auf HNAS-Konfigurationssicherungen und Diagnosedaten zugreifen, die dieser spezifischen administrativen Rolle normalerweise verwehrt sind. CVSS-Basiswert: 7.6 (Hoch).

Eine Schwachstelle durch unsichere Standardberechtigungen in Hitachi JP1/Performance Management unter Windows ermöglicht die Manipulation von Dateien. Betroffen ist eine Vielzahl von JP1/Performance-Management-Komponenten in unterschiedlichen Versionsständen, darunter Manager, Base sowie zahlreiche Agent- und Remote-Monitor-Optionen. CVSS-Basiswert: 8.4 (Hoch).

In Hitachi EH-VIEW (KeypadDesigner) besteht laut NVD eine unzulässige Beschränkung von Operationen innerhalb der Grenzen eines Speicherpuffers. Lokale Angreifer können dadurch potenziell Informationen offenlegen und beliebigen Code auf betroffenen EH-VIEW-Installationen ausführen; erforderlich ist, dass ein Nutzer eine bösartige Datei öffnet. Betroffen sind laut NVD nur Produkte, die vom Hersteller nicht mehr unterstützt werden ("UNSUPPORTED WHEN ASSIGNED"). CVSS-Basiswert: 7.8 (Hoch).

In Hitachi EH-VIEW (Designer) besteht eine Out-of-Bounds-Read-Schwachstelle, die lokalen Angreifern das Offenlegen von Informationen ermöglicht; Voraussetzung ist, dass ein Nutzer eine bösartige Datei öffnet. Laut Quelle betrifft dies nur Produktstände, die vom Hersteller nicht mehr unterstützt werden. CVSS-Basiswert: 7.8 (Hoch). Die Ausnutzung erfolgt laut Vektor lokal ohne vorherige Rechte, erfordert jedoch Nutzerinteraktion, und gefährdet Vertraulichkeit, Integrität und Verfügbarkeit vollständig.

In Hitachi EH-VIEW (Designer) existiert eine Out-of-Bounds-Write-Schwachstelle, die lokalen Angreifern die Ausführung von beliebigem Code auf betroffenen EH-VIEW-Installationen ermöglichen kann. Voraussetzung ist eine Nutzerinteraktion, da eine bösartige Datei geöffnet werden muss. Laut Hersteller betrifft die Lücke nur Produkte, die nicht mehr unterstützt werden. CVSS-Basiswert: 7.8 (Hoch).

Eine Out-of-Bounds-Write-Schwachstelle in Hitachi EH-VIEW (KeypadDesigner) erlaubt lokalen Angreifern die potenzielle Ausführung von beliebigem Code auf betroffenen EH-VIEW-Installationen. Eine Ausnutzung erfordert Nutzerinteraktion, da das Opfer eine präparierte Datei öffnen muss. Laut Quelle betrifft die Schwachstelle nur Produkte, die vom Hersteller nicht mehr unterstützt werden. CVSS-Basiswert: 7.8 (Hoch). Betroffen sind laut den Quellen Hitachi Energy und Hitachi Vantara. Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt nicht vor.

In Hitachi Replication Manager für Windows, Linux und Solaris besteht eine Schwachstelle durch Expression Language Injection. Betroffen sind alle Versionen vor 8.8.5-02. Ein Angreifer kann darüber Code-Injection durchführen. CVSS-Basiswert: 7.3 (Hoch).

SimpleBLE, eine plattformübergreifende Bibliothek und Anbindung für Bluetooth Low Energy (BLE), weist vor Version 0.14.0 mehrere Stack-basierte Pufferüberläufe auf. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Version 0.14.0 oder neuer aktualisieren.

In Grup Arge Energy and Control Systems Smartpower besteht eine SQL-Injection-Schwachstelle durch unzureichende Neutralisierung von Sonderzeichen in einem SQL-Befehl. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Sicherheitsupdate des Herstellers nach Verfügbarkeit einspielen.

In der Beefull App besteht eine Autorisierungsumgehung durch einen benutzerkontrollierten Schlüssel (Ausnutzung vertrauenswürdiger Kennungen). Betroffen ist die Beefull App vor dem 24.07.2025. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.