Az elmúlt napokban ismét számos, nem egy esetben 0. napi ICS sérülékenység látott napvilágot.
OSISoft PI Server és WebAPI 2017 sérülékenységek
Az ICS-CERT két publikációban hozta nyilvánosságra a gyártó által az alábbi termékekben talált sérülékenységeket:
- PI Data Archive 2017-nél korábbi verziói;
- PI Web API 2017-nél (1.9.0-nál) régebbi verziói.
A PI Data Archive-ban két, nem megfelelő authentikációból adódó sérülékenységet, a PI Web API-ban pedig egy Cross-site Request Forgery-t találtak a gyártó munkatársai.
Az OSISoft mindhárom hibát javította a szoftverek legújabb verzióiban.
A hibákkal kapcsolatban bővebb információt az ICS-CERT alábbi publikációiban lehet találni:
https://ics-cert.us-cert.gov/advisories/ICSA-17-164-02
https://ics-cert.us-cert.gov/advisories/ICSA-17-164-03
Trihedral VTScada sérülékenységek
Karn Ganeshen 3 sérülékenységet talált a Trihedral VTScada 11.2.26-nál korábbi verzióiban. Az első hiba az erőforrások nem megfelelő kezeléséből adódóan gyakorlatilag DoS-támadásra ad lehetőséget, a második hiba egy XSS, a harmadik pedig abból adódik, hogy a web szerver egyes fájljait authentikáció nélkül is el lehet érni.
A gyártó a hibákat a 11.2.26-os verzióban javította, Karn Ganeshen pedig igazolta, hogy a patch valóban javította a fenti hibákat.
A sérülékenységekről további részleteket az ICS-CERT bejelentése tartalmaz: https://ics-cert.us-cert.gov/advisories/ICSA-17-164-01
Schneider Electric U.motion 0. napi sérülékenységek
A ZDI 11 darab 0. napi sérülékenységet publikált a Schneider Electric U.motion termékével kapcsolatban, miután 120 nappal a gyártó értesítése után sem kaptak választ a megkeresésükre. A sérülékenységek az alábbi kategóriákba tartoznak:
- SQLi RCE;
- információszivárgás;
- könyvtár bejáráson keresztüli fájlfeltöltési lehetőség és RCE;
- könyvtár bejáráson keresztüli információszivárgás;
- authentikáció-megkerülést lehetővé tevő hiba;
- helyi jogosultsági szint emelést lehetővé tevő hiba.
A sérülékenységekkel kapcsolatban részleteket a ZDI alábbi bejelentéseiben lehet olvasni:
http://www.zerodayinitiative.com/advisories/ZDI-17-383/
http://www.zerodayinitiative.com/advisories/ZDI-17-384/
http://www.zerodayinitiative.com/advisories/ZDI-17-385/
http://www.zerodayinitiative.com/advisories/ZDI-17-386/
http://www.zerodayinitiative.com/advisories/ZDI-17-387/
http://www.zerodayinitiative.com/advisories/ZDI-17-388/
http://www.zerodayinitiative.com/advisories/ZDI-17-389/
http://www.zerodayinitiative.com/advisories/ZDI-17-390/
http://www.zerodayinitiative.com/advisories/ZDI-17-391/
http://www.zerodayinitiative.com/advisories/ZDI-17-392/
Az ICS-CERT az ipari rendszerek sérülékenységei kapcsán továbbra is az ismert kockázatcsökkentő intézkedések alkalmazását javasolja:
- Minimálisra kell csökkenteni az ipari/egészségügyi rendszerek/hálózatok kapcsolatát az Internettel, az ilyen eszközök közvetlen Internetre történő csatlakoztatását kerülni kell;
- Az ipari/egészségügyi rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari/egészségügyi rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak;
- Amikor csak lehetséges el kell távolítani, le kell tiltani vagy meg kell változtatni az alapértelmezett felhasználói fiókok nevét és jelszavát;
- A nyers erőn (brute force) alapuló jelszótörések elleni védekezés jegyében felhasználói fiók-kizárási szabályokat célszerű alkalmazni;
- Erős jelszavak alkalmazását kikényszerítő szabályokat kell alkalmazni;
- Harmadik féltől származó alkalmazással célszerű monitorozni az adminisztrátori szintű jogosultságok kiadását;
- Az alapértelmezett beállításokat, amennyiben lehetséges, meg kell változtatni;
- A futó szolgáltasáok hardening-jét célszerű elvégezni (csak azok a szolgáltatások fussanak, amik nélkülözhetetlenek);
- Biztonságos felhasználókezelési és hozzáférési szabályokat kell életbe léptetni;
- A megbízhatónak tartott firmware és szoftver-verziókból célszerű (páncélszekrényben) elzárt fizikai példányokkal rendelkezni (lehetőleg egyszer írható adathordozón, pl. CD/DVD, stb.);
- Ismerni kell a normális működéshez tartozó hálózati forgalmat;
- Ki kell alakítani a biztonsági naplózás és naplóelemzés képességét és ezekre építve a megfelelő riasztási eljárásokat;
- Az új beállításokat labor körülmények között célszerű tesztelni, mielőtt az éles (és tartalék) rendszerekben alkalmaznák azokat.
