GE SNMP/Web Interface
Az ICS-CERT a tegnapi napon publikált bejelentése szerint Karn Ganeshen független biztonsági kutató két hibát talált a GE SNMP/Web interfész adapterében. A GE rendszere egy webszerver, amit szünetmentes áramforrások adatainak megjelenítésére használnak világszerte.
Az első hiba a bevitt adatok nem megfelelő nem megfelelő ellenőrzése miatt lehetővé teszi egy authentikált felhasználónak, hogy bármilyen parancsot végrehajtson a rendszerben, a másik hiba miatt pedig érzékeny adatok kerülnek szöveges formában tárolásra bármiféle titkosítás alkalmazása nélkül.
A hibák a 4.8-as verziónál régebbi firmware-t futtató SNMP/Web Interface adapterek mindegyikében megtalálhatóak. A GE ügyefelei számára elérhetővé tette a hibákat javító, 4.8-as verziójú firmware-t és mindenkinek azt tanácsolja, hogy mielőbb frissítsenek erre a verzióra.
Sauter moduWeb Vision
Szintén egy tegnapi bejelentésben részletezi az ICS-CERT a Sauter moduWeb Vision 1.5.5 és korábbi verzióiban Martin Jartelius és John Stock, az Outpost24 munkatársai által talált hibákat, melyek között a felhasználói azonosítók nem biztonságos tárolása, küldése és fogadása egyaránt 10.0-ás CVSS v3 pontszámot kaptak, valamint egy XSS sérülékenység is.
A gyártó a hibák a legfrissebb elérhető firmware-ben javította mindhárom hibát.
Az ICS-CERT azok számára, akik valamilyen oknál fogva kénytelenek továbbra is sérülékeny verziót használni, a szokásos tanácsokat adja:
- Minimálisra kell csökkenteni az ipari rendszerek/hálózatok kapcsolatát az Internettl;
- Az ipari rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak!
