Siemens SINEMA Server privilégiumszint emelést lehetővé tevő sérülékenység
Az rgod néven ismert biztonsági kutató a ZDI-vel együttműködve talált egy privilégiumszint emelést lehetővé tevő sérülékenységet a Siemens SINEMA Server nevű termékében. A hiba a SINEMA Server minden verzióját érinti. Ha egy támadó sikeresen használja ki a hibát, akkor egy sikeres authentikáció után képes lehet a legitimnél magasabb jogosultságokat szerezni.
A Siemens egy ideiglenes javítást tett elérhetővé a SINEMA Server-t használó ügyfeleli számára és jelenleg is dolgozik a hibát véglegesen javító új verzión.
A hibával kapcsolatban további információkat a Siemens ProductCERT és az ICS-CERT oldalaink érhetőek el.
Moxa SoftCMS SQLi sérülékenység
Zhou Yu, az Acorn Network Security munkatársa talált SQL injection sérülékenységet a Moxa SoftCMS nevű központi menedzsment megoldásában. A hiba a SoftCMS Version 1.5-nél korábbi verzióit érinti.
A gyártó már elérhetővé tette a hibát javító 1.5-ös firmware verziót.
Részletes információkat az ICS-CERT bejelentése tartalmaz: https://ics-cert.us-cert.gov/advisories/ICSA-16-215-01
Az ICS-CERT a fenti sérülékenységekkel kapcsolatban a szokásos kockázatcsökkentő intézkedések alkalmazását javasolja:
- Ne nyissanak meg kéretlen e-mail üzenetekben érkezett csatolmányokat vagy webes hivatkozásokat!
- Minimálisra kell csökkenteni az ipari rendszerek/hálózatok kapcsolatát az Internettel;
- Az ipari rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak!
