Az ICS-CERT a tegnapi napon két ICS rendszerrel kapcsolatos sérülékenységről szóló bejelentést tett közzé.
Az első a Rockwell Automation MicroLogix 1100 PLC eszközét érinti, amiben David Atch, a CyberX munkatársa talált puffer-túlcsordulásos híbát. A hiba az alábbi kontroller-platformokat érinti:
- 1763-L16AWA, Series B, 15.000 korábbi verziók;
- 1763-L16BBB, Series B, 15.000 korábbi verziók;
- 1763-L16BWA, Series B, 15.000 korábbi verziók;
- 1763-L16DWD, Series B, 15.000 korábbi verziók;
- 1763-L16AWA, Series A, 15.000 korábbi verziók;
- 1763-L16BBB, Series A, 15.000 korábbi verziók;
- 1763-L16BWA, Series A, 15.000 korábbi verziók;
- 1763-L16DWD, Series A, 15.000 korábbi verziók.
A hiba sikeres kihasználásával egy támadó távolról tetszőleges kódfuttatásra lehet képes. A Rockwell Automation weboldalán elérhetővé tette a hibát javító firmware-verziót: http://compatibility.rockwellautomation.com/Pages/MultiProductDownload.aspx?famID=30
A firmware-frissítésen túl a gyártó további tanácsokkal is szolgál a sérülékenység hatásainak csökkentésére:
- Javasolt letiltani a MicroLogix 1100-as sorozatú eszközökben alapértelmezetten engedélyezett webszervert;
- A key switch-nek RUN értéket javasolt adni, hogy a letiltott webszervert az RSLogix 500-on keresztül ne lehessen újra engedélyezni;
- A gyártó javasolja az ügyfeleknek, hogy iratkozzanak fel a Security Advisory Index-szolgáltatásra, ami napra kész biztonsági információkat szolgáltat a Rockwell Automation termékekkel kapcsolatban.
Mindemellett az ICS-CERT is elismétli a szokásos biztonsági intézkedésekre vonatkozó tanácsait:
- Minimálisra kell csökkenteni az ipari rendszerek/hálózatok kapcsolatát az Internettl;
- Az ipari rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak!
A második bejelentés a MICROSYS PROMOTIC termékének 8.3.11-nél korábbi verzióit érintő memória-korrupciós sérülékenységéről szól, amit Praveen Darshanam, a Versa Networks munkatársa fedezett fel.
A MICROSYS egy cseh ICS/SCADA-fejlesztő cég, az érintett termék ICS/SCADA HMI szoftverfejlesztő csomag, amellyel technológiai folyamatok vezérlő, megjelenítő és felügyeleti alkalmazásait lehet fejleszteni. A PROMOTIC-ot elsősorban Csehországban és Szlovákiában, valamint jellemzően Közép- és Kelet-Európában (többek között Magyarországon is) használják.
A hiba kihasználásához felhasználói interakcióra van szükség, a támadónak el kell érnie, hogy egy felhasználó megnyisson egy kártékony HTML-állományt a sérülékeny szoftverrel.
A gyártó minden, sérülékeny verziójú PROMOTIC-ot használó ügyfelének azt javasolja, hogy telepítsék a legfrissebb, elérhető verziót, amelyben ezt a hibát már javították: http://www.promotic.eu/en/promotic/download/download.htm
