PowerSYSTEM Center собирает данные и готовит отчёты для энергетических и промышленных объектов. Две уязвимости в нём срабатывают на одного и того же пользователя. Учётная запись с низкими привилегиями получает доступ к ресурсам администратора и к базе данных. Затронуты сборки, которые ещё работают на объектах критической инфраструктуры.
Как устроены обе уязвимости
Обеим проблемам производитель поставил одинаковые оценки: 9,0 по CVSS 3.1 и 9,4 по CVSS 4.0. Уровень опасности в обеих шкалах - критический. Атака начинается из соседнего сетевого сегмента, а не из интернета. Удалённо эти уязвимости не эксплуатируются - об этом прямо говорит CISA. Нужна действующая учётная запись с низкими привилегиями, то есть сотрудник или подрядчик, у которого доступ уже есть. Участие пользователя не требуется, сложность атаки низкая.
PowerSYSTEM Center работает на объектах энергетики и обрабатывающей промышленности по всему миру. Головной офис Subnet Solutions находится в Канаде. Обе записи CVE опубликованы 6 ноября 2026 года, обе отнесены к внешнему обнаружению.
Обход проверки прав
Проверка прав в PowerSYSTEM Center не учитывает, к какому объекту обращается пользователь. В итоге учётная запись с минимальными правами открывает то, что задумано только для администратора. Повышать права явно не нужно: система сама разрешает лишнее. По классификации CWE это неверная авторизация, CWE-863.
Уязвимость затрагивает все три линейки продукта: PowerSYSTEM Center 2020 до 5.29.x включительно, 2024 от 6.0.x до 6.2.x и 2026 от 7.0.x до 7.1.x. Проблему нашёл Chinmay Patel из Digital Boundary Group и сообщил о ней производителю. Исправленные сборки перечислены ниже.
Внедрение SQL-кода в конструкторе отчётов
Конструктор отчётов принимает от пользователя параметры выборки и проверяет их недостаточно строго. Строка, собранная в отчёте, уходит в SQL-запрос как есть. Аутентифицированный пользователь получает возможность выполнять команды, которые приложение выполнять не должно. Это внедрение SQL-кода, CWE-89.
Оценки те же, условия атаки те же. При этом линейка 2020 в записи CVE-2026-63774 не числится: проблема затрагивает PowerSYSTEM Center 2024 от 6.0.x до 6.2.x и 2026 от 7.0.x до 7.1.x. В бюллетене CISA от 3 ноября 2020-я линейка указана среди затронутых, в записи CVE от 6 ноября её нет. При таком расхождении опирайтесь на запись CVE: она опубликована позже.
Обновление и обходные меры
Исправления вышли. Владельцам PowerSYSTEM Center 2020 производитель предлагает установить Update 30. Для линеек 2024 и 2026 есть PowerSYSTEM Center 2026 Update 1.1 - одно и то же обновление снимает обе уязвимости. Отдельного патча под внедрение SQL-кода в линейке 2024 нет: переход на 2026 Update 1.1 заменяет его.
Смысл патча в том, что доступ к административным ресурсам снова зависит от роли. Конструктор отчётов продолжает работать, но собранные в нём строки больше не попадают в запрос без проверки. Администраторам стоит сверить список учётных записей Client Access Server с реальными обязанностями сотрудников: лишние права при такой ошибке в проверке доступа только расширяют область риска.
Пока обновление не установлено, производитель советует две меры. Первая - следить за записями активности пользователей и сверять их с политикой допустимого использования. Вторая - закрыть пользователям Client Access Server доступ к инструментам разработчика браузера (F12). Для конструктора отчётов есть отдельная мера: отключить пользователям доступ к нему.
CISA добавляет своё: убрать системы управления из интернета, поставить их за межсетевой экран и изолировать от корпоративной сети. Для удалённого доступа CISA советует VPN актуальной версии и напоминает, что VPN защищает не сильнее подключённого устройства. О реальных атаках именно на эти уязвимости в CISA не сообщали. Публичный эксплойт в источниках не упоминается.
Ссылки
