Még július 12-én az ICS-CERT két, ICS rendszerek sérülékenységeiről szóló bejelentést publikált.
GE Proficy HMI SCADA CIMPLICITY
Zhou Yu, az Acorn Network Security munkatársa egy jogosultságkezelési hibát talált a GE Proficy HMI SCADA CIMPLICITY nevű termékében. A hiba a CIMPLICITY Version 8.2, SIM 26 és korábbi verzióit érinti.
A hiba sikeres kihasználásával egy authentikált felhasználó képes lehet módosítani a rendszer konfigurációját és tetszőleges végrehajtható állományt futtathat. A hibával kapcsolatban a gyártó egy bejelentést tett közzé, valamint javasolja a sérülékeny verziókat futtató ügyfeleinek a Proficy HMI/SCADA–CIMPLICITY, Version 8.2, Sim 27 verziójú vagy újabb (a legutolsó elérhető verzió a CIMPLICITY Version 8.2 SIM 43) firmware-re történő frissítést.
A hibával kapcsolatos ICS-CERT bejelentés itt olvasható: https://ics-cert.us-cert.gov/advisories/ICSA-16-194-02
Tollgrade Smart Grid EMS LightHouse
Ashish Kamble, a Qualys munkatársa a Tollgrade Communications Smart Grid LightHouse Sensor Management System nevű termékében fedezett fel több sérülékenységet. A hibák a LightHouse SMS, Version 5.1, Patch 3-nál korábbi verziókat érintik.
A hibák között található kritikus funkcióhoz történő, authentikáció nélküli hozzáférés, információszivárgás a hibaüzenetben és nem megfelelő jogosultságkezelés.
A gyártó a hibákat a LightHouse SMS, Version 5.1, Patch 3 verzióban javította. A sérülékeny verziót használó ügyfeleknek azt javasolják, lépjenek kapcsolatba a Tollgrade support csapatával.
A Tollgrade support elérhetőségei és a hibákkal kapcsolatos részletes információk az ICS-CERT bejelentésében érhetőek el: https://ics-cert.us-cert.gov/advisories/ICSA-16-194-01
Az ICS-CERT ezen túlmenően a szokásos kockázatcsökkentő intézkedéseket javasolja:
- Minimálisra kell csökkenteni az ipari rendszerek/hálózatok kapcsolatát az Internettel;
- Az ipari rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak!
