Termékeny napja volt tegnap az ICS-CERT-nek, 3 különböző ICS gyártó termékeivel kapcsolatos hibát is publikáltak.
Rockwell Automation Integrated Architecture Builder sérülékenységek
A Rockwell Automation Integrated Architecture Builder 9.6.0.7 és annál korábbi, valamint a 9.7.0.0 és 9.7.0.1-es verzióiban Ivan Sanchez, a Nullcode Team tagja fedezett fel memória-hozzáférési hibát. A sérülékenységet kihasználva a támadó az alkalmazás jogosultságával futtathat tetszőleges kódot a rendszeren. A hibát nem lehet távolról, illetve felhasználói interakció nélkül kihasználni.
A gyártó elérhetővé tette a hibát javító verziókat és számos egyéb tanácsot is ad, amivel csökkenteni lehet a sérülékeny rendszerek kockázatait:
- Nem szabad ismeretlen forrásból származó projekt fájlokat megnyitni az IAB.exe alkalmazással;
- Az alkalmazást korlátozott (felhasználói szintű) jogosultságokkal kell futtatni adminisztrátori jogosultságok helyett (itt tenném hozzá, hogy számos helyen láttam már, hogy egyenes local system-ként futnak az alkalmazások, nem is "csupán" adminisztrátori jogokkal - gondolom nem én vagyok az egyetlen...)
- Csak megbízható forrásból származó szoftvereket és patch-eket szabad használni, és javasolt antivírus/antimalware szoftvereket használni;
- Biztonságtudatossági képzési programokat kell tartani a felhasználóknak, ahol meg kell ismertetni velük azokat a jeleket, amikre figyelve felismerhetik az adathalász/social engrineering támadásokat;
- Minimalizálni kell, vagy ha lehetséges, meg kell szüntetni az ICS rendszerek kitettségét a támadásoknak és biztosítani kell, hogy nem lehet őket elérni az Internet irányából;
- Tűzfalakkal és egyéb hálózatszegmentációban használt eszközökkel szeparálni kell az ICS rendszereket az egyéb informatikai rendszerektől;
- Javasolt csak a bevizsgált és engedélyezett alkalmazások futását engedélyezni (application whitelisting).
A hibáról további információkat az ICS-CERT bejelentése tartalmaz: ICSA-16-056-01
Eaton Lighting Systems EG2 Web Control Authentication Bypass Vulnerabilities
Az Eaton Lighting Systems EG2 Web Control v4.04P és korábbi verziójú termékeiben Maxim Rupp fedezett fel két olyan hibát, amelyek kihasználásával meg lehet kerülni a rendszer authentikációs folyamatát. A hibák közül az egyiket a nem megfelelően ellenőrzött cookie-k használata jelenti, a másik pedig lehetővé teszi a szöveges formában tárolt érzékeny adatok illetéktelenek általi megismerését.
A gyártó a hibákat a legújabb verziójú firmware-ben javította a hibákat, egyúttal jelezte, hogy az idei év későbbi részében az érintett termékek elérik életciklusuk végét és hogy a hibás funkciót el fogja távolítani az eszközeiből.
A hibáról további információkat az ICS-CERT bejelentése tartalmaz: ICSA-16-061-03
Pro-face GP-Pro EX HMI sérülékenységek
A Pro-face’s GP-Pro EX HMI szoftverében a Zero Day Initiative (ZDI) munkatársai találtak számos hibát, melyek távolról is kihasználhatóak, egy részük kihasználásához pedig felhasználói interakció sem szükséges. A sérülékenységek az EX-ED, PFXEXEDV, PFXEXEDLS, PFXEXGRPLS modelleket, illetve az 1.00-tól 4.0.4-ig terjedő szoftververziókat érintik. A hibák között egyaránt van heap- és stack-alapú puffer-túlcsordulás, beégetett felhasználói azonosítók és authentikáció-megkerülésre lehetőséget adó hiba is.
A gyártó a hibákat a GP-Pro EX (4.05.000 és későbbi) verziójú modulban javította.
A hibáról további információkat az ICS-CERT bejelentése tartalmaz: ICSA-16-096-01
Mindhárom sérülékenységgel kapcsolatban élnek az ICS-CERT általános érvényű, kockázatokat csökkentő javaslatai:
- Minimálisra kell csökkenteni az ipari rendszerek/hálózatok kapcsolatát az Internettel;
- Az ipari rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak!
