Az ICS-CERT  tegnap publikált a Rockwell Automation FactoryTalk EnergyMetrix nevű termékével kapcsolatos legújabb sérülékenységeket. A hiba az alábbi verziókat érinti:

- FactoryTalk EnergyMetrix, Version 2.10.00 és korábbi verziók.

A FactoryTalk EnergyMetrix egy webes felületű menedzsemnt szoftver, amit energiaadatok gyűjtésére, elemzésére, tárolására és megosztására használnak számos iparágban, többek között vegyipari, kereskedelmi, energetikai és viziközmű vállalatok is.

A hibák között egy SQLi és egy nem megfelelő munkamenet lejárat-kezelés is található.

A gyártó a hibákat a Version 2.30.00 verzióban javította, ami a rockwellautomation.com weboldalon, authetnikáció után érhető el az ügyfelek számára: http://compatibility.rockwellautomation.com/Pages/MultiProductDownload.aspx?famID=1&crumb=112

A verziófrissítés mellett a Rockwell Automation további kockázatcsökkentő intézkedések bevezetését javasolja ügyfeleinek:

- Bizonyosodjanak meg arról, hogy az érintett rendszerekben alkalmazzák a minimális jogosultságok elvét humán és szervíz felhasználói fiókoknál egyaránt;
- A FactoryTalk EnergyMetrix sezrverek konfigurálják be a https használatát, amivel biztosítható a böngésző és a szerver között forgalmazott adatok bizalmassága és sértetlensége;
- Csak megbízható szoftvereket és javítócsomagokat használjanak, valamint alkalmazzanak antivirus/antimalware megoldást! Csak megbízható weboldalakat és csatolmányokat nyissanak meg;
- Biztonsági és biztonságtudatossági képzésekkel fokozzák a felhasználók biztonsággal kapcsolatos tudását, így segítve, hogy felismerjék az adathalász és social engineering támadásokat;

A gyártó tanácsain túl az ICS-CERT a szokásos kockázatcsökkentő intézkedések alkalmazását javasolja:

- Minimálisra kell csökkenteni az ipari rendszerek/hálózatok kapcsolatát az Internettel;
- Az ipari rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak!

További információkat az ICS-CERT bejelentése tartalmaz: https://ics-cert.us-cert.gov/advisories/ICSA-16-173-03