Vyaire Medical CareFusion Upgrade Utility sérülékenység
Mark Cross független biztonsági kutató egy DLL injectiont lehetővé tevő hibát fedezett fel a Vyaire Medical CareFusion Upgrade Utility nevű, Windows XP-n futó megoldásának 2.0.2.2 és korábbi verzióiban.
A gyártó a 2.0.2.2-es verziót és a Windows XP platformot már nem támogatja, ebben a verzióban és platformon a hibát nem is fogják javítani, helyette a 2.0.3.0 verziót ajánlják, ami Windows 7 és újabb operációs rendszer verziókon fut.
A sérülékenység részleteit az ICS-CERT bejelentésében lehet megtalálni: https://ics-cert.us-cert.gov/advisories/ICSMA-18-037-01
Schneider Electric IGSS SCADA sérülékenység
Ivan Sanchez, a Nullcode munkatársa helytelenül implementált ASLR (Address Space Layout Randomization) és DEP (Data Execution Prevention) memóriakezelési eljárásokból adódó sérülékenységet talált a Schneider Electric IGSS SCADA V12 és korábbi verzióiban.
A gyártó a hibát a V13-as verzióban javította.
A sérülékenységről bővebb információkat az ICS-CERT és a Schneider Electric publikációiban lehet találni.
Sérülékenység WAGO PFC200 sorozatú berendezésekben
Reid Wightman, a CODESYS munkatársa egy nem megfelelő authentikációból adódó sérülékenységet fedezett fel a CODESYS Runtime alkalmazás alábbi verzióiban:
- CoDeSys Version 2.3.X;
- CoDeSys Version 2.4.X.
A CoDeSys Runtime az alábbi WAGO berendezéseket is érinti, amennyiben azok a 02.07.07(10)-nél korábbi firmware verziót futtatják:
- 750-8202;
- 750-8202/025-000;
- 750-8202/025-001;
- 750-8202/025-002;
- 750-8202/040-001;
- 750-8203;
- 750-8203/025-000;
- 750-8204;
- 750-8204/025-000;
- 750-8206;
- 750-8206/025-000;
- 750-8206/025-001;
- 750-8207;
- 750-8207/025-000;
- 750-8207/025-001;
- 750-8208;
- 750-8208/025-000.
A WAGO a hibákat javító patch-et a FW11-gyel elérhetővé tette.
A sérülékenység további részletei az ICS-CERT publikációjában érhetőek el: https://ics-cert.us-cert.gov/advisories/ICSA-18-044-01
Schneider Electric IGSS Mobile (for Andriod and iOS) sérülékenységek
A gyártó két sérülékenységről publikált részleteket, amik az IGSS Mobile for Android 3.01-es és korábbi illetve IGSS Mobile for iOS 3.01-es és korábbi verzióit érintik. Az első sérülékenység egy man-in-the-middle támadást tesz lehetővé, a második pedig a jelszavak olvasható formában történő tárolásából adódik.
A hibát javító verziók már elérhetőek a Google Play illetve Apple Store-okban.
A sérülékenységek részleteit a Schneider Electric által kiadott tájékoztató tartalmazza.
Sérülékenység Schneider Electric StruxureOn Gateway-ekben
A gyártó által kiadott bejelentés alapján a StruxureOn Gateway minden, 1.2-esnél korábbi verziójában megtalálható az a sérülékenység, aminek kihasználásával egy támadó tetszőleges fájlt tölthet fel a sérülékeny rendszerekre és ezen keresztül távoli kódfuttatási jogosultságot szerezhet.
A hibát a gyártó a StruxureOn Gateway 1.2-es verziójában javította.
A sérülékenységgel kapcsolatban bővebb információkat a Schneider Electric bejelentésében lehet olvasni.
A sérülékenységek negatív hatásainak csökkentése érdekében az ICS-CERT az alábbi kockázatcsökkentő intézkedések bevezetését javasolja:
- Minimálisra kell csökkenteni az ipari/egészségügyi rendszerek/hálózatok kapcsolatát az Internettel, az ilyen eszközök közvetlen Internetre történő csatlakoztatását kerülni kell;
- Az ipari/egészségügyi rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari/egészségügyi rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak;
- Amikor csak lehetséges el kell távolítani, le kell tiltani vagy meg kell változtatni az alapértelmezett felhasználói fiókok nevét és jelszavát;
- A nyers erőn (brute force) alapuló jelszótörések elleni védekezés jegyében felhasználói fiók-kizárási szabályokat célszerű alkalmazni;
- Erős jelszavak alkalmazását kikényszerítő szabályokat kell alkalmazni;
- Harmadik féltől származó alkalmazással célszerű monitorozni az adminisztrátori szintű jogosultságok kiadását;
- Az alapértelmezett beállításokat, amennyiben lehetséges, meg kell változtatni;
- A futó szolgáltatások hardening-jét célszerű elvégezni (csak azok a szolgáltatások fussanak, amik nélkülözhetetlenek);
- Biztonságos felhasználókezelési és hozzáférési szabályokat kell életbe léptetni;
- A megbízhatónak tartott firmware és szoftver-verziókból célszerű (valamilyen szinten tűzálló páncélszekrényben) elzárt fizikai példányokkal rendelkezni (lehetőleg egyszer írható adathordozón, pl. CD/DVD, stb.);
- Ismerni kell a normális működéshez tartozó hálózati forgalmat;
- Ki kell alakítani a biztonsági naplózás és naplóelemzés képességét és ezekre építve a megfelelő riasztási eljárásokat;
- Az új beállításokat labor körülmények között célszerű tesztelni, mielőtt az éles (és tartalék) rendszerekben alkalmaznák azokat.
