Az ICS-CERT tegnap publikált bejelentése alapján Kam Ganeshen független biztonsági kutató több hibát fedezett fel a Moxa MiiNePort soros porti szervermoduljában, amit számos iparágban használnak. A hibák az alábbi MiiNePort verziókat érintik:
- MiiNePort_E1_7080 Firmware Version 1.1.10 Build 09120714,
- MiiNePort_E1_4641 Firmware Version 1.1.10 Build 09120714,
- MiiNePort_E2_1242 Firmware Version 1.1 Build 10080614,
- MiiNePort_E2_4561 Firmware Version 1.1 Build 10080614, és
- MiiNePort E3 Firmware Version 1.0 Build 11071409.
A hibák között van érzékeny konfigurációs adatok olvasható szöveges formában történő tárolás, XSRF és gyenge (valójában nem létező) authentikációs adatkezelés - ez utóbbi konkrétan azt jelenti, hogy a gyári alapértelmezett beállítások szerint nincs kezdeti jelszó konfigurálva a MiiNePort eszközökön.
A hibák javítását a gyártó május végére ígéri, amíg ez elérhetővé válik, az alábbi intézkedéseket javasolja a MiiNePort felhasználóknak:
- Tiltsák le a 80/tcp (http) és 23/tcp (telnet) portokat;
- A következő portok elérését korlátozzák, hogy csak megbízható rendszerek illetve távoli adminisztrátori feladatokat végző szakemberek használhassák őket: 161/udp (SNMP), 4800/udp, 4900/udp, 4900/tcp;
- Az eszközökhöz csak jelszó megadása után lehessen elérni.
Az ICS-CERT a szokásos, kockázatcsökkentő intézkedéseket javasolja a hibákkal kapcsolatban:
- Minimálisra kell csökkenteni az ipari rendszerek/hálózatok kapcsolatát az Internettel;
- Az ipari rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak!
További részleteket az ICS-CERT bejelentése tartalmaz: https://ics-cert.us-cert.gov/advisories/ICSA-16-145-01
