JVNVU#93117073    
Hitachi Energy製RTU500シリーズにおける複数の脆弱性

Hitachi Energyが提供するRTU500シリーズには、複数の脆弱性が存在します。

CVE-2023-2953、CVE-2025-6021

• RTU500シリーズ CMU ファームウェアバージョン 12.7.1から12.7.7
• RTU500シリーズ CMU ファームウェアバージョン 13.5.1から13.5.3
• RTU500シリーズ CMU ファームウェアバージョン 13.6.1
• RTU500シリーズ CMU ファームウェアバージョン 13.7.1から13.7.6

CVE-2025-39203

• RTU500シリーズ CMU ファームウェアバージョン 12.7.1から12.7.7
• RTU500シリーズ CMU ファームウェアバージョン 13.4.1から13.4.4
• RTU500シリーズ CMU ファームウェアバージョン 13.5.1から13.5.3
• RTU500シリーズ CMU ファームウェアバージョン 13.6.1
• RTU500シリーズ CMU ファームウェアバージョン 13.7.1から13.7.6

CVE-2024-45490、CVE-2024-45491、CVE-2024-45492、CVE-2024-28757

• RTU500シリーズ CMU ファームウェアバージョン 13.7.1から13.7.6

Hitachi Energyが提供するRTU500シリーズには、次の複数の脆弱性が存在します。

• NULLポインタ参照（CWE-476）
  • CVE-2023-2953
• データ完全性の検証不備（CWE-354）
  • CVE-2025-39203
• XML外部エンティティ参照（XXE）の不適切な制限（CWE-611）
  • CVE-2024-45490
• ヒープベースのバッファオーバーフロー（CWE-122）
  • CVE-2024-45491
• 整数オーバーフローまたはラップアラウンド（CWE-190）
  • CVE-2024-45492
• DTDの再帰的なエンティティ参照の不適切な制限（CWE-776）
  • CVE-2024-28757
• スタックベースのバッファオーバーフロー（CWE-121）
  • CVE-2025-6021

脆弱性を悪用された場合、次のような影響を受ける可能性があります。

• 細工されたリクエストによって、サービス運用妨害（DoS）状態にされる（CVE-2023-2953）
• 細工されたIEC 61850-8メッセージコンテンツによって、サービス運用妨害（DoS）状態にされる（CVE-2025-39203）
• 認証されたユーザーによって細工されたXML入力を読み取ることで、当該製品を再起動させられる（CVE-2024-45490、CVE-2024-45491、CVE-2024-45492、CVE-2024-28757）
• 認証されたユーザーによって細工されたXMLメッセージを送信され、当該製品を再起動させられる（CVE-2025-6021）

アップデートする
開発者は、アップデートを提供しています。
詳細は、開発者が提供する情報を確認してください。

ベンダ	リンク
Hitachi Energy	8DBD000220 | Multiple Vulnerabilities in Hitachi Energy’s RTU500 series Product（PDF）

1. ICS Advisory | ICSA-25-259-02
   Hitachi Energy RTU500 Series