Grid Protection Alliance устранила критические уязвимости в openPDC и openHistorian

Grid Protection Alliance исправила пять уязвимостей в openPDC и openHistorian

Grid Protection Alliance выпустила обновления для своих продуктов openPDC и openHistorian, устраняющие пять критических уязвимостей. Уязвимости затрагивают десериализацию недоверенных данных, отсутствие аутентификации для критических функций, подделку серверных запросов (SSRF), использование жестко закодированных учетных данных и небезопасное использование внешнего ввода для выбора классов или кода (Unsafe Reflection).

openPDC и openHistorian управляют данными энергетической инфраструктуры

openPDC и openHistorian — это программные продукты, используемые в энергетическом секторе. openPDC собирает и обрабатывает данные с энергетических объектов, а openHistorian хранит и анализирует эти данные. Продукты развернуты по всему миру и используются в критически важной энергетической инфраструктуре. Уязвимости были обнаружены в версиях openPDC и openHistorian, а также в Docker-образе openPDC.

Уязвимости затрагивают локальные установки openPDC и openHistorian, Docker-образ не исправили

Уязвимости CVE-2026-100730, CVE-2026-105281, CVE-2026-85479 и CVE-2026-101022 затрагивают openPDC и openHistorian. Для openPDC и openHistorian уязвимость CVE-2026-100730 устранена в версиях 2.9.482 и выше для openPDC и 2.8.585 и выше для openHistorian. Уязвимости CVE-2026-105281 и CVE-2026-85479 исправлены путем обновления конфигурации по умолчанию, которая теперь привязывает уязвимые интерфейсы к локальному адресу. Это изменение применяется к новым установкам; существующие установки сохраняют прежнюю конфигурацию. Уязвимость CVE-2026-101022 требует применения сетевых ограничений с помощью межсетевого экрана. Docker-образ openPDC не получил исправлений, так как Grid Protection Alliance не рекомендует использовать опубликованные Docker-образы в производственной среде.

Обновите openPDC и openHistorian до последних версий или примените конфигурационные изменения

Пользователям openPDC и openHistorian рекомендуется обновить программное обеспечение до последних версий, в которых устранены уязвимости. Для CVE-2026-100730 это версии openPDC 2.9.482+ и openHistorian 2.8.585+. Для уязвимостей CVE-2026-105281 и CVE-2026-85479 необходимо проверить конфигурацию существующих установок и при необходимости привязать уязвимые интерфейсы к локальному адресу. Для CVE-2026-101022 следует настроить межсетевой экран для ограничения доступа к Modbus, исключив из разрешенных адресов локальный и частные диапазоны IP-адресов, если они не требуются явно. Grid Protection Alliance не планирует выпускать исправления для Docker-образа openPDC.

Источник: CISA