Az elmúlt napokban ismét több ICS rendszerrel kapcsolatos sérülékenységről jelentek meg új információk.
Ecava IntegraXor sérülékenység
Az ICS-CERT publikációja szerint Brian Gorenc független biztonsági kutató és Juan Pablo Lopez, a ZDI munkatársa egy SQLi sérülékenységet találtak az Ecava IntegraXor 5.0.413.0 verziójában.
A gyártó a hibát az IntegraXor V5.2.722.2-es frissítésében javította, amit a weboldaláról lehet letölteni.
https://www.integraxor.com/download-scada/
A hibával kapcsolatban további részleteket az ICS-CERT bejelentése tartalmaz: https://ics-cert.us-cert.gov/advisories/ICSA-17-031-02
Sérülékenységek a BINOM3 multifunkciós mérőberendezéseiben
Karn Ganeshen független biztonsági kutató 5 különböző sérülékenységet talált a BINOM3 multifunkciós mérőberendezéseiben. A hibák a BINOM3 minden univerzális multifunkciós mérőeszközét érintik.
A hibák között cross-site scripting, hozzáférés-kezelési hiba, CSRF, érzékeny információk olvasható formában történő tárolása és nem megfelelő felhasználói adatkezelés is van.
A gyártó nem adott ki javítást vagy sérülékenységek okozta kockázatnövekedés csökkentésére vonatkozó javaslatokat.
A hibáról többet az ICS-CERT bejelentésében lehet olvasni: https://ics-cert.us-cert.gov/advisories/ICSA-17-031-01
A fenti sérülékenységekkel kapcsolatban az ICS-CERT ezúttal is a szokásos kockázatcsökkentő intézkedések végrehajtását javasolja:
- Minimálisra kell csökkenteni az ipari/egészségügyi rendszerek/hálózatok kapcsolatát az Internettel;
- Az ipari/egészségügyi rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari/egészségügyi rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak!
Belden Hirschmann Industrial HiVision sérülékenység
A gyártó által publikált bejelentés szerint a Hirschmann Industrial HiVision hálózatmenedzsment megoldás hibáját, ami miatt a korlátozott jogosultságú felhasználók írási jogosultságot szerezhetnek a HiVision által menedzselt eszközökön.
A hiba a 06.0.00-06.0.05 és a 07.0.00 verziókat érinti. A gyártó a hibát a 06.0.06 és a 07.0.01 verziókban javította.
A sérülékenységről további információkat a Belden bejelentése tartalmaz.
Schneider Electric StruxureWare Data Center Expert sérülékenység
A gyártó bejelentése szerint a StruxureWare Data Center Expert nevű termékének 7.3.1 és korábbi verzióiban a felhasználói fiókok jelszavait olvasható formában tárolja a rendszer a memóriában. A sérüléeknységet Ilya Karpov, a Positive Technologies munkatársa fedezte fel. A hibát a gyártó a 7.4.0 és újabb verziókban már javította.
A sérülékenységről bővebb információkat a Schneider Electric bejelentése tartalmaz.
