2016.01.14-én az ICS-CERT számos, az Advantech WebAccess 8.0 és azt megelőző verzióit érintő sérülékenységet hozott nyilvánosságra. Az Advantech érintett termékcsaládja egy webes ICS/SCADA rendszer HMI modullal. A sérülékenységek meglehetősen széles skálán mozognak:
- Jogosulatlan memória-hozzáférés;
- Korlátozás és hitelesítés nélküli fájlfeltöltés;
- Jogosulatlan könyvtár-hozzáférés;
- Különböző stack- és heap-based puffer-túlcsordulások;
- Nem megfelelő hozzáférés-vezérlés;
- Nem megfelelő bevitt adat-ellenőrzés;
- Cross-site scripting;
- SQL injection;
- Cross-site request forgery;
- Bizalmas adatok olvasható szöveges formában tárolása;
- Távoli kódfuttatás böngészú plug-in alkalmazásával.
A gyártó a hibákat a WebAccess 8.1-es verzióban javította, ami elérhető a vállalat weboldalán keresztül. Az ICS-CERT a frissítés telepítése mellett tanácsokkal szolgál a sérülékenységek jelentette kockázatok csökkentése érdekében:
Minimálisra kell csökkenteni az ipari rendszerek/hálózatok kapcsolatát az Internettl;
Az ipari rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
Az ipari rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak!
Az ICS-CERT tanácsai sokaknak maguktól értetődőek lehetnek (legalábbis erősen remélem, hogy ezek a legtöbb informatikus számára nem jelentenek újdonságot), mégis az, hogy az ICS-CERT egy teljesen átlagos (bár az egy szoftverrel kapcsolatban bejelentett hibák száma ebben az esetben nem mindennapos) esetben ezeket az intézkedéseket javasolja, jól mutatja, hogy mlyen alapvető biztonsági problémák vannak nagyon sok ipari rendszerben/hálózatban.
