Hitachi Energy identifica vulnerabilidades de acceso no autenticado en Asset Suite

Hitachi Energy ha alertado sobre la existencia de vulnerabilidades de acceso no autenticado a servlets en su producto Asset Suite. Según un aviso republicado por CISA (cisa.gov), estas brechas de seguridad afectan a todas las versiones de Asset Suite hasta la 9.9.0 incluida.

Una de las vulnerabilidades, identificada como CVE-2026-7395, permite que usuarios no autenticados accedan al servlet HTTPPublishAdapterTestServlet. Este componente está diseñado para pruebas en entornos de no producción. Su explotación podría conducir a la divulgación de información sensible y al compromiso de la integridad del sistema mediante la carga de archivos de configuración. Esta vulnerabilidad ha sido clasificada con una severidad ALTA, con una puntuación CVSSv3.1 de 8.1 y CVSSv4.0 de 8.5.

La segunda serie de vulnerabilidades, agrupadas bajo el identificador CVE-2026-11796, involucra el acceso no autenticado a los servlets PropertiesReloadServlet, CacheFlushServlet, MetadataCacheFlushServlet y ResourceBundleReloadServlet. Estos servlets cumplen funciones específicas dentro del entorno de producción de Asset Suite. Su compromiso podría resultar en condiciones de denegación de servicio, afectando la disponibilidad de la aplicación. Para estas vulnerabilidades, la severidad ha sido clasificada como MEDIA, con una puntuación CVSSv3.1 de 4.3 y CVSSv4.0 de 5.1.

Ambos grupos de vulnerabilidades comparten la categoría de ‘Missing Authentication for Critical Function’ (CWE-306).

Hitachi Energy ha indicado que el impacto potencial de estas fallas puede afectar la confidencialidad, integridad y disponibilidad de las instalaciones. El producto Asset Suite se despliega globalmente en sectores de infraestructura crítica, particularmente en el sector energético. La notificación de estas vulnerabilidades a CISA fue realizada por EDF.

Para mitigar el riesgo, Hitachi Energy recomienda a los usuarios la actualización a la versión Asset Suite 9.9.1 cuando esté disponible. Como medida inmediata, se sugiere deshabilitar los servlets afectados. Se subraya que el HTTPPublishAdapterTestServlet está destinado únicamente a entornos de prueba, mientras que la funcionalidad de los otros servlets en un entorno de producción debe ser evaluada por los usuarios.