Критическая уязвимость Path Traversal в DIAEnergie (CVE-2026-78312)
В DIAEnergie — платформе управления энергопотреблением от Delta Electronics — обнаружена критическая уязвимость обхода пути (Path Traversal) с оценкой CVSS 9.1. Проблема затрагивает все версии до 1.11.00.022 и позволяет злоумышленнику получить доступ к файлам за пределами разрешённого каталога. Уязвимость требует немедленного устранения.
Подробности
Уязвимость относится к классу Path Traversal (обход пути, CWE-22). Она затрагивает DIAEnergie во всех версиях до 1.11.00.022. Суть проблемы заключается в недостаточной проверке пользовательского ввода при работе с путями к файлам: атакующий может использовать специально сформированные последовательности вроде «../» для выхода за пределы разрешённого каталога и доступа к произвольным файлам файловой системы сервера. Оценка CVSS 9.1 (CRITICAL) говорит о высоком риске: эксплуатация не требует аутентификации или особых условий, а потенциальный ущерб включает утечку конфиденциальных данных, включая конфигурационные файлы, учётные данные и системную информацию. В корпоративной среде такие данные могут стать отправной точкой для дальнейшего развития атаки — горизонтального перемещения по сети, повышения привилегий или компрометации смежных АСУ ТП-компонентов.Что делать
Основная и наиболее надёжная мера — обновление DIAEnergie до версии 1.11.00.022 или более поздней. Производитель выпустил исправление, закрывающее вектор обхода пути, поэтому переход на актуальную версию полностью устраняет уязвимость. Если немедленное обновление невозможно, рекомендуется применить компенсирующие меры: - Ограничить сетевой доступ к веб-интерфейсу DIAEnergie: не размещать систему в публичном сегменте, использовать VPN или изолированный сегмент сети. - Настроить межсетевые экраны и правила WAF для фильтрации запросов, содержащих последовательности обхода пути («../», «..\\», URL-кодированные варианты). - Ограничить права учётной записи, под которой работает сервис DIAEnergie, чтобы минимизировать возможный ущерб от эксплуатации. - Организовать мониторинг журналов на предмет подозрительных запросов к файловым путям и аномальной активности. - Провести аудит на предмет возможной компрометации, если система была доступна из недоверенных сетей до обновления. Итог: CVE-2026-78312 — серьёзная угроза для организаций, использующих DIAEnergie в промышленных и энергетических контурах. Критический уровень CVSS и низкая сложность эксплуатации делают приоритет устранения максимальным. Обновление до 1.11.00.022 — обязательный шаг, а до его применения следует усилить сетевую изоляцию и мониторинг.Источник: CVE Project (cvelistV5)