Ipari és folyamatirányítási informatikai rendszerek biztonságáról magyarul.

ICS Cyber Security blog

ICS Cyber Security blog

ICS sérülékenységek LXIV

Moxa ioLogik, Animas és GE Bently Nevada sérülékenységek

2016. október 07. - icscybersec

Moxa ioLogik sérülékenységek

A Moxa az ICS-CERT-tel együttműködésben hozta nyilvánosságra, hogy az ioLogik termékcsalád több szériájában is sérülékenységeket találtak. A hibák az alábbi típusú eszközöket érintik:

ioLogik E2210;
ioLogik E2212;
ioLogik E2240;
ioLogik E2262;
ioLogik E1262;
ioLogik E2260;
ioLogik E2242;
ioLogik E2214;
ioLogik E1211;
ioLogik E1212;
ioLogik E1241;
ioLogik E1242;
ioLogik E1260;
ioLogik E1210;
ioLogik E1214;
ioLogik E1240;
ioLogik E1213;
ioLogik E1261W-T;
ioLogik E1261H-T;
ioLogik E1263H-T.

A hibák között több XSS, titkosítatlan HTTP kérésekben küldött jelszavak, nem kellően bonyolult alapértelmezett jelszavak és hiányzó CSRF elleni védelem is található.

A gyártó az ioLogik E1200-as sorozatú eszközökhöz a hibákat javító firmware béta verzióját 2016. augusztus 22-én, a végleges firmware-t szeptember 30-án adta ki. Az ioLogik E2200-as sorozatú eszközök béta firmware-je szeptember 2-a, a végleges verzió várhatóan október 31-étől lesz elérhető.

A Moxa számos kockázatcsökkentő intézkedést is javasol ügyfelei számára:

- Tűzfal és/vagy VPN használatával tegyék biztonságosabbá a hálózati szegmensek közötti kommunikációt (a témában kiadott Technical FAQ az "protect internet communication" kifejezést használja, szerintem ez csak tévedés, az ilyen eszközöknek nagyjából semmi keresnivalójuk nincs publikus hálózatokon);
- Szigorú hozzáférés vezérlési rendszer és szabályok alkalmazásával minimalizálni kell a hálózat biztonsági kitettségét;
- Az ICS rendszerek és távoli eszközök hálózatát tűzfalak mögé, az üzleti/vállalati hálózatoktól izoláltan kell kialakítani;
- Az ioLogik termékekben használni kell az engedélyezett eszközök IP címeit tartalmazó listát, ezzel megelőzhető, hogy nem engedélyezett eszközökről férjenek hozzá az ioLogik berendezésekhez;
- Erős jelszavakat kell használni;
- A kiadott béta vagy STD firmware-eket kell használni.

További részleteket a Moxa Technical FAQ-ja tartalmaz: http://www.moxa.com/support/faq/faq_detail.aspx?id=2703

Animas OneTouch Ping Insulin Pump sérülékenységek

A Rapid7 munkatársai több sérülékenységet találtak az Animas (Johnson&Johnson leányvállalat) OneTouch Ping nevű digitális izulin adagolójában. A hibák a termék minden verzióját érintik és többféle komoly biztonsági kockázatot jelentenek:

- Az inzulin adagoló és a távoli mérőberendezés között minden kommunikáció olvasható formában történik;
- Az inzulin adagoló és a távoli mérőberendezés közötti kezdeti társítási folyamathoz használt véletlenszerű érték az algoritmus gyengesége miatt jó eséllyel megjósolható;
- A nem megfelelő authentikáció miatt a lehetőség van a távoli parancsok (köztük akár az inzulin adagolására vonatkozó) visszajátszására/megismétlésére.

A gyártó nem tervezi a hibák javítását, mindössze értesítést küldött a pácienseknek és egészségügyi szakembereknek, ami elérhető a weboldalukon is és több kockázatcsökkentő intézkedést is publikált:
 
- Az inzulin adagoló rádiókommunikációs funkcióját ki lehet kapcsolni (erről a felhasználói kézikönyvben írnak bővebben), azonban a kikapcsolás azzal jár, hogy vércukor szint mérések értékeit manuálisan kell bevinni az adagolóba;
- Ha a felhasználó úgy dönt, hogy használni kívánja a rádiókommunikációs funkciót, lehetőség van szabályozni az inzulin adagoló által egyszerre beadható inzulin mennyiségét;
- Javasolt az eszközök Vibrating Alert funkciójának bekapcsolása. Ez a funkció, ha be van kapcsolva, jelzi a pácienseknek, hogy a távvezérlő kezdeményezte az inzulin beadását és lehetőséget biztosít ennek törlésére;
- Az inzulin beadására vonatkozó riasztás és az inulin mennyiségének szabályozása csak az adagolón konfigurálható, a távvezérlő eszközön nem.

A sérülékenységekkel kapcsolatban további információkat az ICS-CERT bejelentése tartalmaz: https://ics-cert.us-cert.gov/advisories/ICSMA-16-279-01

GE Bently Nevada 3500/22M sérülékenység

Az ICS-CERT publikációja szerint a GE egy egy nem megfelelő jogosultságkezelésből származó hibát azonosított. A hiba az alábbi típusokat és firmware-verziókat érinti:

- GE Bently Nevada 3500/22M (USB-s verziók), Version 5.0-nál korábbi firmware-verziókkal;
- GE Bently Nevada 3500/22M (soros porttal rendelkező verziók), minden firmware-verzió.

A hiba alapvető oka, hogy az érintett eszközökön számos nyitott port található, amelyeken keresztül jogosulatlanul lehet hozzáférést szerezni.

A gyártó a hibát az 5.0-ás firmware-verzióban javította és további kockázatcsökkentő intézkedéseket javasol végrehajtani:

- A www.bntechsupport.com weboldalon elérhető, 106M9733 - 3500 Hardening Guideline című útmutatóban leírt hardening technikák alkalmazása;
- Az IEC 62443-2-4 Level 1 szerinti telepítéssel kapcsolatos információkat a GE Bently Nevada ügyfélszolgálatától lehet beszerezni;
- Az egymással kommunikáló eszközök közé kiegészítő eszközök (bump-in-the-wire) beépítése javasolt a biztonságos kommunikáció megvalósítása érdekében;
- Körültekintő hálózati szegmentálás és megfelelően konfigurált tűzfalak alkalmazásával jelentősen lehet csökkenteni a sérülékeny eszközök kockázatait.

Az ICS-CERT továbbá a szokásos kockázatcsökkentő intézkedések bevezetését is javasolja:

- Minimálisra kell csökkenteni az ipari rendszerek/hálózatok kapcsolatát az Internettel;
- Az ipari rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak!

A hibával kapcsolatban részletes információkat az ICS-CERT bejelentése tartalmaz: https://ics-cert.us-cert.gov/advisories/ICSA-16-252-01

A bejegyzés trackback címe:

https://icscybersec.blog.hu/api/trackback/id/tr4111778845

Kommentek:

A hozzászólások a vonatkozó jogszabályok  értelmében felhasználói tartalomnak minősülnek, értük a szolgáltatás technikai  üzemeltetője semmilyen felelősséget nem vállal, azokat nem ellenőrzi. Kifogás esetén forduljon a blog szerkesztőjéhez. Részletek a  Felhasználási feltételekben és az adatvédelmi tájékoztatóban.

Nincsenek hozzászólások.
süti beállítások módosítása