Moxa ioLogik sérülékenységek
A Moxa az ICS-CERT-tel együttműködésben hozta nyilvánosságra, hogy az ioLogik termékcsalád több szériájában is sérülékenységeket találtak. A hibák az alábbi típusú eszközöket érintik:
ioLogik E2210;
ioLogik E2212;
ioLogik E2240;
ioLogik E2262;
ioLogik E1262;
ioLogik E2260;
ioLogik E2242;
ioLogik E2214;
ioLogik E1211;
ioLogik E1212;
ioLogik E1241;
ioLogik E1242;
ioLogik E1260;
ioLogik E1210;
ioLogik E1214;
ioLogik E1240;
ioLogik E1213;
ioLogik E1261W-T;
ioLogik E1261H-T;
ioLogik E1263H-T.
A hibák között több XSS, titkosítatlan HTTP kérésekben küldött jelszavak, nem kellően bonyolult alapértelmezett jelszavak és hiányzó CSRF elleni védelem is található.
A gyártó az ioLogik E1200-as sorozatú eszközökhöz a hibákat javító firmware béta verzióját 2016. augusztus 22-én, a végleges firmware-t szeptember 30-án adta ki. Az ioLogik E2200-as sorozatú eszközök béta firmware-je szeptember 2-a, a végleges verzió várhatóan október 31-étől lesz elérhető.
A Moxa számos kockázatcsökkentő intézkedést is javasol ügyfelei számára:
- Tűzfal és/vagy VPN használatával tegyék biztonságosabbá a hálózati szegmensek közötti kommunikációt (a témában kiadott Technical FAQ az "protect internet communication" kifejezést használja, szerintem ez csak tévedés, az ilyen eszközöknek nagyjából semmi keresnivalójuk nincs publikus hálózatokon);
- Szigorú hozzáférés vezérlési rendszer és szabályok alkalmazásával minimalizálni kell a hálózat biztonsági kitettségét;
- Az ICS rendszerek és távoli eszközök hálózatát tűzfalak mögé, az üzleti/vállalati hálózatoktól izoláltan kell kialakítani;
- Az ioLogik termékekben használni kell az engedélyezett eszközök IP címeit tartalmazó listát, ezzel megelőzhető, hogy nem engedélyezett eszközökről férjenek hozzá az ioLogik berendezésekhez;
- Erős jelszavakat kell használni;
- A kiadott béta vagy STD firmware-eket kell használni.
További részleteket a Moxa Technical FAQ-ja tartalmaz: http://www.moxa.com/support/faq/faq_detail.aspx?id=2703
Animas OneTouch Ping Insulin Pump sérülékenységek
A Rapid7 munkatársai több sérülékenységet találtak az Animas (Johnson&Johnson leányvállalat) OneTouch Ping nevű digitális izulin adagolójában. A hibák a termék minden verzióját érintik és többféle komoly biztonsági kockázatot jelentenek:
- Az inzulin adagoló és a távoli mérőberendezés között minden kommunikáció olvasható formában történik;
- Az inzulin adagoló és a távoli mérőberendezés közötti kezdeti társítási folyamathoz használt véletlenszerű érték az algoritmus gyengesége miatt jó eséllyel megjósolható;
- A nem megfelelő authentikáció miatt a lehetőség van a távoli parancsok (köztük akár az inzulin adagolására vonatkozó) visszajátszására/megismétlésére.
A gyártó nem tervezi a hibák javítását, mindössze értesítést küldött a pácienseknek és egészségügyi szakembereknek, ami elérhető a weboldalukon is és több kockázatcsökkentő intézkedést is publikált:
- Az inzulin adagoló rádiókommunikációs funkcióját ki lehet kapcsolni (erről a felhasználói kézikönyvben írnak bővebben), azonban a kikapcsolás azzal jár, hogy vércukor szint mérések értékeit manuálisan kell bevinni az adagolóba;
- Ha a felhasználó úgy dönt, hogy használni kívánja a rádiókommunikációs funkciót, lehetőség van szabályozni az inzulin adagoló által egyszerre beadható inzulin mennyiségét;
- Javasolt az eszközök Vibrating Alert funkciójának bekapcsolása. Ez a funkció, ha be van kapcsolva, jelzi a pácienseknek, hogy a távvezérlő kezdeményezte az inzulin beadását és lehetőséget biztosít ennek törlésére;
- Az inzulin beadására vonatkozó riasztás és az inulin mennyiségének szabályozása csak az adagolón konfigurálható, a távvezérlő eszközön nem.
A sérülékenységekkel kapcsolatban további információkat az ICS-CERT bejelentése tartalmaz: https://ics-cert.us-cert.gov/advisories/ICSMA-16-279-01
GE Bently Nevada 3500/22M sérülékenység
Az ICS-CERT publikációja szerint a GE egy egy nem megfelelő jogosultságkezelésből származó hibát azonosított. A hiba az alábbi típusokat és firmware-verziókat érinti:
- GE Bently Nevada 3500/22M (USB-s verziók), Version 5.0-nál korábbi firmware-verziókkal;
- GE Bently Nevada 3500/22M (soros porttal rendelkező verziók), minden firmware-verzió.
A hiba alapvető oka, hogy az érintett eszközökön számos nyitott port található, amelyeken keresztül jogosulatlanul lehet hozzáférést szerezni.
A gyártó a hibát az 5.0-ás firmware-verzióban javította és további kockázatcsökkentő intézkedéseket javasol végrehajtani:
- A www.bntechsupport.com weboldalon elérhető, 106M9733 - 3500 Hardening Guideline című útmutatóban leírt hardening technikák alkalmazása;
- Az IEC 62443-2-4 Level 1 szerinti telepítéssel kapcsolatos információkat a GE Bently Nevada ügyfélszolgálatától lehet beszerezni;
- Az egymással kommunikáló eszközök közé kiegészítő eszközök (bump-in-the-wire) beépítése javasolt a biztonságos kommunikáció megvalósítása érdekében;
- Körültekintő hálózati szegmentálás és megfelelően konfigurált tűzfalak alkalmazásával jelentősen lehet csökkenteni a sérülékeny eszközök kockázatait.
Az ICS-CERT továbbá a szokásos kockázatcsökkentő intézkedések bevezetését is javasolja:
- Minimálisra kell csökkenteni az ipari rendszerek/hálózatok kapcsolatát az Internettel;
- Az ipari rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak!
A hibával kapcsolatban részletes információkat az ICS-CERT bejelentése tartalmaz: https://ics-cert.us-cert.gov/advisories/ICSA-16-252-01
