JVNVU#95835809
複数のHitachi Energy製品における複数の脆弱性

Hitachi Energyが提供する複数の製品には、複数の脆弱性が存在します。

CVE-2026-2459、CVE-2026-2460

• REB500 バージョン 8.3.3.0およびそれ以前

• RTU500 シリーズ CMUファームウェアバージョン 12.7.1から12.7.7
• RTU500 シリーズ CMUファームウェアバージョン 13.5.1から13.5.4
• RTU500 シリーズ CMUファームウェアバージョン 13.6.1から13.6.2
• RTU500 シリーズ CMUファームウェアバージョン 13.7.1から13.7.7
• RTU500 シリーズ CMUファームウェアバージョン 13.8.1

Hitachi Energyが提供する複数の製品には、次の複数の脆弱性が存在します。

• 危険なアクションが実行可能な権限（CWE-267）
  • CVE-2026-2459、CVE-2026-2460
• 不十分な認可や権限の不適切な取扱い（CWE-280）
  • CVE-2026-1772
• 許可しない入力のリストが不完全（CWE-184）
  • CVE-2026-1773
• 不適切な再帰制御（CWE-674）
  • CVE-2024-8176
• 制限または調整なしのリソースの割り当て（CWE-770）
  • CVE-2025-59375

脆弱性を悪用された場合、次のような影響を受ける可能性があります。

• 低権限のユーザーによって、権限のないディレクトリの内容にアクセスされ、改ざんされる（CVE-2026-2459、CVE-2026-2460）
• 必要な権限を持たないユーザーによって、ユーザー管理情報を読み取られる（CVE-2026-1772）
• IEC 60870-5-104双方向機能が設定されている場合において、無効なUフォーマットフレームを送信されサービス運用妨害（DoS）状態を引き起こされる（CVE-2026-1773）
• IEC61850機能が設定されている場合において、細工されたXML文書を解析した場合、サービス運用妨害（DoS）状態やメモリ破損を引き起こされる（CVE-2024-8176）
• IEC61850機能が設定されている場合において、細工されたドキュメントを受信した場合、大量の動的メモリ割り当てを引き起こされる（CVE-2025-59375）

アップデートする
開発者は、アップデートを提供しています。

ワークアラウンドを実施する
一部の製品に対しては、ワークアラウンドの適用も推奨しています。

詳細は、開発者が提供する情報を確認してください。