Sérülékenységek Advantech WebAccess/SCADA rendszerekben
A ZDI-nek az rgod néven tevékenykedő biztonsági kutató jelentett két, eddig nem ismert sérülékenységet, amik az Advantech WebAccess/SCADA (korábban WebAccess) V8.2_20170817-nál korábbi verzióit érintik.
A hibák között egy könyvtárbejárásos támadást lehetővé tevő és egy SQL injection sérülékenység található.
Az Advantech a hibákat a WebAccess/SCADA 8.3.0 verziójában javította.
A sérülékenységgel kapcsolatos részleteket az ICS-CERT bejelentése tartalmazza: https://ics-cert.us-cert.gov/advisories/ICSA-18-023-01
Sérülékenység Philips egészségügyi rendszerekben
Az ICS-CERT bejelentése szerint egy, a nem megfelelő munkamenet lejáratból adódó hibát azonosítottak a Philips által gyártott, szív- és érrendszeri képalkotó és adatkezelő rendszereinek 2.3.0 és korábbi verzióiban.
A gyártó jelenleg is dolgozik a hiba javítását tartalmazó új verzión.
A sérülékenységgel kapcsolatban bővebb információkat az ICS-CERT bejelentése tartalmaz: https://ics-cert.us-cert.gov/advisories/ICSMA-18-025-01
Siemens Desigo PXC berendezések sérülékenysége
Can Demirel és Melih Berk Eksioglu a Biznet Bilisim munkatársai egy nem megfelelő authentikációból adódó sérülékenységet azonosítottak a Siemens Desigo PXC V6.00.204-nél korábbi verziójú termékei:
- Desigo Automation Controllers Compact PXC12/22/36-E.D;
- Desigo Automation Controllers Modular PXC00/50/100/200-E.D;
- Desigo Automation Controllers PXC00/64/128-U Web modullal;
- Desigo Automation Controllers for Integration PXC001-E.D;
- Desigo Operator Unit PXM20-E.
A Siemens a hibát a V6.00.204 és újabb verziókban javította.
A sérülékenységről további részleteket az ICS-CERT publikációjában lehet olvasni: https://ics-cert.us-cert.gov/advisories/ICSA-18-025-02
Sérülékenység Nari rendszerekben
Kirill Nesterov és Alexey Osipov Kaspersky Labs munkatársai egy, a bevitt adatok nem megfelelő ellenőrzéséből adódó sérülékenységet azonosítottak a Nari PCS-9611-es relé, vezérlő és monitoring berendezéseiben.
A gyártó mostanáig semmilyen információt vagy javítást nem adott ki a sérülékenységgel kapcsolatban.
A sérülékenységről az ICS-CERT bejelentése tartalmaz bővebb információkat: https://ics-cert.us-cert.gov/advisories/ICSA-18-025-01
Sérülékenységek Siemens TeleControl rendszerekben
A Siemens ProductCERT három sérülékenységet azonosított a TeleControl Server Basic nevű termékének V3.1-nél korábbi verzióiban. A hibák között authentikáció megkerülést lehetővé tevő, jogosultság kezelést érintő és szolgáltatás-megtagadásos támadást lehetővé tevő hiba is található.
A gyártó a hibák javítása érdekében a legújabb elérhető TeleControl Server Basic verzióra történő frissítést javasolja.
A sérülékenységről további információkat a Siemens ProductCERT és az ICS-CERT bejelentéseiben lehet találni.
Sérülékenység Phoenix Compact mGuard ipari hálózati eszközökben
A Phoenix Contact egy nem megfelelő integritás-ellenőrzésből adódó hibát azonosított az mGuard firmware-ek 7.2-től 8.6.0-ig terjedő verzióiban.
A hibát a gyártó a 8.6.1-es firmware-verzióban javította, amit az alábbi termékekhez a weboldaláról lehet letölteni:
- MGUARD CENTERPORT;
- MGUARD DELTA TX/TX;
- MGUARD DELTA TX/TX VPN;
- MGUARD GT/GT;
- MGUARD GT/GT VPN;
- MGUARD PCI4000 VPN;
- MGUARD PCIE4000 VPN;
- MGUARD RS2000 TX/TX VPN;
- MGUARD RS2000 TX/TX-B;
- MGUARD RS2005 TX VPN;
- MGUARD RS4000 TX/TX;
- MGUARD RS4000 TX/TX VPN;
- MGUARD RS4000 TX/TX VPN-M;
- MGUARD RS4000 TX/TX-P;
- MGUARD RS4004 TX/DTX;
- MGUARD RS4004 TX/DTX VPN;
- MGUARD SMART2;
- MGUARD SMART2 VPN;
- MGUARD RS2000 3G VPN;
- MGUARD RS4000 3G VPN;
- MGUARD CORE TX VPN;
- MGUARD RS2000 4G VPN;
- MGUARD RS4000 4G VPN.
A sérülékenység részletei az ICS-CERT bejelentésében találhatóak: https://ics-cert.us-cert.gov/advisories/ICSA-18-030-01
A fenti sérülékenységekkel kapcsolatban az ICS-CERT az alábbi kockázatcsökkentő intézkedések fontosságát hangsúlyozza:
- Minimálisra kell csökkenteni az ipari/egészségügyi rendszerek/hálózatok kapcsolatát az Internettel, az ilyen eszközök közvetlen Internetre történő csatlakoztatását kerülni kell;
- Az ipari/egészségügyi rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari/egészségügyi rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak;
- Amikor csak lehetséges el kell távolítani, le kell tiltani vagy meg kell változtatni az alapértelmezett felhasználói fiókok nevét és jelszavát;
- A nyers erőn (brute force) alapuló jelszótörések elleni védekezés jegyében felhasználói fiók-kizárási szabályokat célszerű alkalmazni;
- Erős jelszavak alkalmazását kikényszerítő szabályokat kell alkalmazni;
- Harmadik féltől származó alkalmazással célszerű monitorozni az adminisztrátori szintű jogosultságok kiadását;
- Az alapértelmezett beállításokat, amennyiben lehetséges, meg kell változtatni;
- A futó szolgáltatások hardening-jét célszerű elvégezni (csak azok a szolgáltatások fussanak, amik nélkülözhetetlenek);
- Biztonságos felhasználókezelési és hozzáférési szabályokat kell életbe léptetni;
- A megbízhatónak tartott firmware és szoftver-verziókból célszerű (valamilyen szinten tűzálló páncélszekrényben) elzárt fizikai példányokkal rendelkezni (lehetőleg egyszer írható adathordozón, pl. CD/DVD, stb.);
- Ismerni kell a normális működéshez tartozó hálózati forgalmat;
- Ki kell alakítani a biztonsági naplózás és naplóelemzés képességét és ezekre építve a megfelelő riasztási eljárásokat;
- Az új beállításokat labor körülmények között célszerű tesztelni, mielőtt az éles (és tartalék) rendszerekben alkalmaznák azokat.
