Fünf Schwachstellen in Hitachi Energys FCP setzen Netzleitsysteme Daten-, Datei- und Sitzungsangriffen aus

Hitachi Energy hat fünf Schwachstellen in seiner FACTS Control Platform offengelegt, durch die Daten, Systemdateien, authentifizierte Sitzungen und die betriebliche Verfügbarkeit gefährdet werden können. Die schwerwiegendsten Schwachstellen erreichen CVSS-v3.1-Werte von 9,9 von 10.

Die Gefährdung ist an eine Bedingung geknüpft: Betroffene Versionen der FACTS Control Platform sind nur dann verwundbar, wenn die Komponente GWS installiert ist. Installationen ohne GWS sind nicht betroffen. Bei Systemen, die ab 2020 installiert wurden, ist eine Gefährdung wahrscheinlich, sofern sie diese Komponente enthalten.

Die Technologie unterstützt Flexible AC Transmission Systems und damit verbundene Anwendungen in Stromnetzen weltweit. Da bislang keine behobenen Versionen genannt wurden, müssen Betreiber derzeit auf Netzisolierung, Zugriffsbeschränkungen, Überwachung und herstellerspezifische Hinweise zur Behebung zurückgreifen.

GWS entscheidet, welche Installationen betroffen sind

Bei dem betroffenen Produkt handelt es sich um die Hitachi Energy FACTS Control Platform, kurz FCP. Sie kommt in mehreren Anwendungen zum Einsatz, die elektrische Übertragungsinfrastrukturen steuern oder unterstützen:

• SVC Light (STATCOM)
• Fixed Series Capacitor
• Thyristor Controlled Series Capacitor
• Static Var Compensator
• Static Watt Compensator
• Hybrid Synchronous Condensers

Der betroffene Versionsumfang umfasst die FCP-Versionen 3.4.0, 3.7.0, 3.8.0, 3.10.0, 3.12.0, 3.14.0, 3.15.0, 4.0.0, 4.0.1, 4.1.0 und 4.1.1. Diese Versionen sind jedoch nur dann betroffen, wenn GWS vorhanden ist.

Diese Unterscheidung sollte die erste Reaktion bestimmen. Betreiber müssen zunächst ihre FACTS-Control-Installationen erfassen, die eingesetzte FCP-Version ermitteln und prüfen, ob GWS auf dem jeweiligen System vorhanden ist. Installationen aus dem Jahr 2020 oder später sollten bei dieser Überprüfung bevorzugt untersucht werden.

Die Schwachstellen betreffen mehrere Sicherheitsgrenzen. Vier der fünf CVSS-Vektoren weisen einen geänderten Scope aus. Das bedeutet, dass eine Ausnutzung Ressourcen außerhalb der ursprünglichen Sicherheitsautorität der verwundbaren Komponente beeinträchtigen kann.

Injection und Path Traversal erreichen die Einstufung „Kritisch“

Die beiden schwerwiegendsten Schwachstellen haben einen CVSS-v3.1-Wert von jeweils 9,9 und den Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H. Beide sind aus der Ferne erreichbar, erfordern geringe Berechtigungen und können die Vertraulichkeit, Integrität und Verfügbarkeit erheblich beeinträchtigen.

CVE-2024-4872 ist eine Schwachstelle durch unzureichende Neutralisierung in der Logik für Datenabfragen und wird als CWE-943 klassifiziert. Der Mechanismus zur Validierung von Abfragen kann es einem authentifizierten Angreifer ermöglichen, Code zur Manipulation dauerhaft gespeicherter Daten einzuschleusen.

Gültige Zugangsdaten sind erforderlich, daher bietet die Schwachstelle keinen unauthentifizierten Einstiegspunkt. Ein Angreifer mit einem Konto und geringen Berechtigungen könnte jedoch gespeicherte Informationen verändern oder anderweitig die von der Anwendung verwendeten Daten beeinträchtigen. Betroffen sind alle aufgeführten Versionen von 3.4.0 bis 4.1.1.

CVE-2024-3980 ist eine als CWE-22 klassifizierte Path-Traversal-Schwachstelle. Ein authentifizierter Benutzer kann die Pfade oder Dateinamen beeinflussen, die an Dateisystemoperationen übergeben werden, und dadurch möglicherweise die vorgesehenen Verzeichnisgrenzen verlassen.

Eine erfolgreiche Ausnutzung kann Systemdateien offenlegen oder die Änderung von Dateien ermöglichen, die für die Anwendung erforderlich sind. Betroffen ist derselbe vollständige Versionsumfang wie bei CVE-2024-4872; auch das netzwerkbasierte Angriffsszenario mit geringer Komplexität ist identisch.

Diese Schwachstellen sind besonders relevant, wenn Zugangsdaten bereits gestohlen, unsachgemäß weitergegeben oder über einen anderen Angriffsweg erlangt wurden. Sie können authentifizierten Zugriff in eine umfassendere Kompromittierung von Anwendungsdaten und der zugrunde liegenden Dateiumgebung verwandeln.

Sitzungswiederholung und ein offener Dienst vergrößern die Angriffsfläche

Die übrigen Schwachstellen haben andere Voraussetzungen und betreffen engere Versionsbereiche.

CVE-2024-3982 ermöglicht mit der Einstufung 8.2 Hoch eine Umgehung der Authentifizierung durch Aufzeichnen und Wiedergeben von Sitzungsdaten. Betroffen sind die Versionen 3.10.0, 3.12.0, 3.14.0, 3.15.0, 4.0.0, 4.0.1, 4.1.0 und 4.1.1.

Ein Angreifer mit lokalem Zugriff kann die Sitzungsprotokollierung des Produkts aktivieren und versuchen, eine bestehende Sitzung zu übernehmen. Dafür sind Administratorrechte erforderlich, da die Sitzungsprotokollierung standardmäßig deaktiviert ist und nur Administratoren sie aktivieren können.

Diese Bedingungen schränken das Angriffsszenario ein, beseitigen die Auswirkungen jedoch nicht. Ein böswilliger Administrator oder ein Angreifer, der bereits lokale administrative Kontrolle erlangt hat, könnte Sitzungsdaten aufzeichnen und wiedergeben, um die Authentifizierung zu umgehen. Der Vektor lautet CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H.

CVE-2024-7940 macht eine Funktion, die für den lokalen Zugriff vorgesehen ist, ohne Authentifizierung auf jeder Netzwerkschnittstelle verfügbar. Die Schwachstelle betrifft die Versionen 3.14.0, 3.15.0, 4.0.0, 4.0.1, 4.1.0 und 4.1.1.

Die Schwachstelle ist mit 8.3 Hoch bewertet; der Vektor lautet CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H. Es sind keine Berechtigungen erforderlich, allerdings ist die Ausnutzung komplex und setzt eine Benutzerinteraktion voraus. Das zentrale Problem aus Sicht der Abwehr: Ein Dienst, der nur lokal erreichbar sein sollte, ist Teil der erreichbaren Netzwerkangriffsfläche geworden.

Betreiber sollten daher die Schnittstellen prüfen, auf denen betroffene Dienste lauschen, und nicht nur kontrollieren, ob die Systeme direkt aus dem Internet erreichbar sind.

Ein Open Redirect kann Credential-Phishing ermöglichen

CVE-2024-7941 ist eine Open-Redirect-Schwachstelle, die nur die Versionen 3.15.0, 4.1.0 und 4.1.1 betrifft. Sie ist mit 4.3 Mittel bewertet; der Vektor lautet CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N.

Ein HTTP-Parameter akzeptiert eine URL und kann die Anfrage des Benutzers an ein vom Angreifer vorgegebenes Ziel weiterleiten. Ein manipulierter Link könnte Beschäftigte daher von einer scheinbar legitimen FCP-Adresse auf eine schädliche Website führen.

Die Schwachstelle ermöglicht nicht unmittelbar die umfassende Systemkompromittierung, die mit den kritischen Schwachstellen verbunden ist. Ihr praktischer Nutzen liegt im Social Engineering: Ein Angreifer könnte eine Authentifizierungsseite nachahmen und versuchen, Zugangsdaten von Betreibern oder Administratoren abzugreifen.

Dieses Szenario ist relevant, weil gültige Zugangsdaten eine Voraussetzung für die Ausnutzung von CVE-2024-4872 und CVE-2024-3980 sind. Eine direkte Verkettung der Schwachstellen wurde allerdings nicht dokumentiert.

Keine behobenen FCP-Versionen angegeben

Am 18. September 2026 war für die betroffenen FCP-Zweige weder eine Version mit Fehlerbehebung noch eine Version des Hersteller-Patches bekannt. Unternehmen sollten sich an ihren Produk Anbieter oder die Serviceorganisation von Hitachi Energy wenden, um auf die jeweilige Installation abgestimmte Anweisungen zu erhalten.

Bis eine freigegebene Behebung verfügbar ist, sollten Betreiber:

1. Direkte Internet-Exponierung beseitigen. FACTS-Control-Geräte und unterstützende Hosts sollten nicht öffentlich erreichbar sein.
2. Steuerungsumgebungen segmentieren. Betriebssysteme sollten hinter Firewalls platziert und von Unternehmensnetzen sowie anderen weniger vertrauenswürdigen Netzwerken getrennt werden.
3. Erreichbare Dienste reduzieren. Nur erforderliche Protokolle, Ports, Hosts und Administrationspfade sollten zugelassen werden.
4. Fernzugriffe absichern. Wo eine Fernverbindung betrieblich erforderlich ist, sollte eine gewartete VPN-Infrastruktur eingesetzt werden. Auch die verbundenen Endpunkte müssen abgesichert sein.
5. Privilegierte Konten überprüfen. Der administrative Zugriff sollte eingeschränkt und es sollten Konten untersucht werden, die die Sitzungsprotokollierung aktivieren können.
6. Physischen Zugriff schützen. CVE-2024-3982 setzt lokalen Zugriff voraus, weshalb die Kontrollen an Arbeitsplätzen und in Einrichtungen unmittelbar relevant sind.
7. Steuerungsarbeitsplätze aufgabenspezifisch nutzen. Sie sollten nicht für E-Mail, allgemeines Surfen im Web oder Instant Messaging verwendet werden.
8. Tragbare Geräte und Medien prüfen. Laptops und Wechseldatenträger sollten vor der Verbindung mit Steuerungssystemen überprüft werden.

Die Überwachung sollte sich auf unerwartete Authentifizierungsereignisse, Änderungen an der Sitzungsprotokollierung, ungewöhnliche Lese- oder Änderungsvorgänge an Systemdateien, nicht erklärte Änderungen an dauerhaft gespeicherten Daten sowie Dienste konzentrieren, die an unerwarteten Netzwerkschnittstellen lauschen. Betreiber sollten außerdem FCP-Links untersuchen, die Benutzer auf unbekannte Domains weiterleiten.

Aktive Ausnutzung und KEV-Status weiterhin unbestätigt

Hitachi Energy meldete die fünf Schwachstellen an CISA, die daraufhin einen Hinweis zu industriellen Steuerungssystemen veröffentlichte. Der erfasste SSVC-Eintrag lautet SSVCv2/E:N/A:N/2026-07-24T09:43:32Z/.

Die verfügbaren Informationen belegen nicht, dass eine der fünf Schwachstellen in den Katalog der Known Exploited Vulnerabilities von CISA aufgenommen wurde. Daher sind weder ein Datum für die Aufnahme in den KEV-Katalog noch eine Frist für Maßnahmen auf Bundesebene bekannt. Eine aktive Ausnutzung wurde nicht bestätigt.

Betreiber sehen sich damit mit schwerwiegenden, aber öffentlich bislang nicht verifizierten Angriffsmöglichkeiten in freier Wildbahn konfrontiert. Die unmittelbaren Prioritäten bestehen darin, Systeme mit GWS zu identifizieren, erreichbare Dienste zu isolieren und produktspezifische Hinweise zur Behebung einzuholen.