Уязвимость обхода авторизации в DIAEnergie (CVE-2026-78310)

В системе промышленного программного обеспечения DIAEnergie, разработанного компанией Delta Electronics, обнаружена уязвимость, связанная с обходом механизмов авторизации. Ей присвоен идентификатор CVE-2026-78310. Проблема относится к классу «Authorization Bypass Through User-Controlled Key» (CWE-639) и позволяет атакующему манипулировать ключевыми параметрами запроса, чтобы получить доступ к защищённым ресурсам или выполнить действия от имени другого пользователя.

Подробности

Уязвимость затрагивает продукт DIAEnergie всех версий до 1.11.00.022 включительно. Согласно описанию CVE, реализация проверки прав доступа опирается на ключ, значение которого контролируется пользователем. Это даёт возможность обойти авторизационные ограничения, подменяя идентификаторы или иные параметры в запросах. Оценка по шкале CVSS v3.1 составляет 4.3 балла, что соответствует среднему уровню опасности. Такой показатель обычно означает, что для эксплуатации требуются определённые условия (например, наличие учётной записи или доступ к сетевому интерфейсу), но последствия могут быть значимыми — вплоть до раскрытия конфиденциальных данных или несанкционированного изменения конфигурации. DIAEnergie применяется для сбора, обработки и визуализации данных энергопотребления на промышленных и инфраструктурных объектах. Поэтому успешная атака может затронуть не только ИТ-периметр, но и технологические процессы, если система интегрирована с оборудованием.

Что делать

Основная рекомендация — обновить DIAEnergie до версии 1.11.00.022 или более поздней. Производитель выпустил исправление, устраняющее некорректную проверку управляемого пользователем ключа. Если немедленное обновление невозможно, следует применить компенсирующие меры:

• Ограничить сетевой доступ к интерфейсам DIAEnergie, оставив только доверенные сегменты и IP-адреса.
• Убедиться, что система не доступна напрямую из интернета.
• Включить дополнительный контроль на уровне WAF или обратного прокси для фильтрации подозрительных параметров запросов.
• Провести аудит учётных записей и прав доступа, удалить неиспользуемые аккаунты.
• Мониторить журналы на предмет аномальных обращений к функциям, требующим повышенных привилегий.

Дополнительно рекомендуется следить за официальными уведомлениями Delta Electronics и обновлениями базы CVE. Итог: CVE-2026-78310 — умеренно опасная уязвимость обхода авторизации в DIAEnergie. Несмотря на средний балл CVSS, она затрагивает промышленное ПО, поэтому игнорировать её не стоит. Своевременное обновление до версии 1.11.00.022 и ограничение сетевого доступа существенно снижают риск эксплуатации.

Источник: CVE Project (cvelistV5)