Sérülékenység ABB M2M ETHERNET firmware-ekben
Maxim Rupp egy nem megfelelő authentikációból adódó hibát fedezett fel a gyártóval közösen az ABB alábbi firmware-jeiben:
- M2M ETHERNET 2.22 és korábbi verziók;
- ETH-FW 1.01 és korábbi verziók.
A hibával kapcsolatban mostanáig nem érkezett hír javításról, a gyártó az eszközeihez kiadott műszaki kézikönyvekben leírt telepítési beállításokat javasolja kockázatcsökkentő intézkedésként. A sérülékenység részleteiről az ICS-CERT publikációjában lehet olvasni: https://ics-cert.us-cert.gov/advisories/ICSA-18-352-07
ABB CMS szoftverek sérülékenysége
Szintén Maxim Rupp és szintén egy nem megfelelő authentikációból adódó hibát jelentett a gyártóval együttműködve az NCCIC-nek, ami a CMS-770 1.7.1 és korábbi verzióiban található meg.
Az ABB ezzel a hibával kapcsolatban is a kiadott műszaki kézikönyvekben leírt telepítési beállításokat javasolja kockázatcsökkentő intézkedésként. A sérülékenységgel kapcsolatos további információk az ICS-CERT bejelentésében érhetőek el: https://ics-cert.us-cert.gov/advisories/ICSA-18-352-06
Sérülékenységek Moxa NPort eszközökben
A gyártó publikációja szerint két sérülékenységet azonosítottak a Moxa alábbi berendezéseiben:
- NPort W2150A, 2.1 és korábbi firmware-verziók használata esetén;
- NPort W2250A, 2.1 és korábbi firmware-verziók használata esetén.
A gyártó a hibát a legújabb firmware-ben javította. A sérülékenységről további részleteket a Moxa webodalán lehet találni: https://www.moxa.com/support/faq/faq_detail.aspx?id=2726
CODESYS rendszerek sérülékenységei
Alexander Nochvay, a Kaspersky Lab munkatársa két sérülékenységet azonosított a 3S-Smart Software Solutions alábbi rendszereiben:
- CODESYS Control for BeagleBone;
- CODESYS Control for emPC-A/iMX6;
- CODESYS Control for IOT2000;
- CODESYS Control for Linux;
- CODESYS Control for PFC100;
- CODESYS Control for PFC200;
- CODESYS Control for Raspberry Pi;
- CODESYS Control RTE V3;
- CODESYS Control RTE V3 (Beckhoff CX-hez kiadott változat);
- CODESYS Control Win V3 (a CODESYS Development System setup-nak is része);
- CODESYS Control V3 Runtime System Toolkit;
- CODESYS V3 Embedded Target Visu Toolkit;
- CODESYS V3 Remote Target Visu Toolkit;
- CODESYS V3 Safety SIL2;
- CODESYS Gateway V3;
- CODESYS HMI V3;
- CODESYS OPC Server V3;
- CODESYS PLCHandler SDK;
- CODESYS V3 Development System
- CODESYS V3 Simulation Runtime (a CODESYS Development System része).
A gyártó a weboldalán kiadta a hibákat javító verziót. A sérülékenységekről bővebben az ICS-CERT weboldalán lehet olvasni: https://ics-cert.us-cert.gov/advisories/ICSA-18-352-04
Sérülékenység CODESYS rendszerekben
Yury Serdyuk, a Kaspersky Lab munkatársa egy nem megfelelő hozzáférés-vezérlési funkcióban fedezett fel hibát, ami az alábbi, CODESYS termékcsaládba tartozó rendszereket érinti:
- Control for BeagleBone;
- CODESYS Control for BeagleBone;
- CODESYS Control for emPC-A/iMX6;
- CODESYS Control for IOT2000;
- CODESYS Control for Linux;
- CODESYS Control for PFC100;
- CODESYS Control for PFC200;
- CODESYS Control for Raspberry Pi;
- CODESYS Control RTE V3;
- CODESYS Control RTE V3 (Beckhoff CX-hez kiadott változat);
- CODESYS Control Win V3 (a CODESYS setup-nak is része);
- CODESYS V3 Simulation Runtime (a CODESYS Development System-nek is része);
- CODESYS Control V3 Runtime System Toolkit;
- CODESYS HMI V3.
A gyártó a hibát a 3.5.14.0 és újabb verziókban javította. A sérülékenység további részletei az ICS-CERT bejelentésében érhetőek el: https://ics-cert.us-cert.gov/advisories/ICSA-18-352-03
Advantech WebAccess sérülékenység
Jacob Baines, a Tenable munkatársa egy, a bevitt adatok nem megfelelő ellenőrzéséből adódó sérülékenységet talált az Advantech WebAccess/SCADA 8.3.2-es, Windows Server 2008R2 SP1 operációs rendszerre telepített változatában.
A gyártó a hibát a 8.3.4-es verzióban javította. A sérülékenységgel kapcsolatosan további információkat az ICS-CERT weboldalán lehet olvasni: https://ics-cert.us-cert.gov/advisories/ICSA-18-352-02
Sérülékenységek ABB GATE-E berendezésekben
Nelson Berg, az Applied Risk munkatársa két sérülékenységet azonosított az ABB alábbi, Pluto Safety PLC-khez használt Ethernet átjáróiban:
- GATE-E1 (EOL 2013);
- GATE-E2 (EOL OCT 2018).
Mindkét típus már elérte életciklusa végét, így a gyártó várhatóan már nem fog javítást készíteni a hibákhoz. A sérülékenységekről bővebben az ICS-CERT publikációjában lehet olvasni: https://ics-cert.us-cert.gov/advisories/ICSA-18-352-01
Rockwell Automation FactoryTalk sérülékenység
Andrey Zhukov egy puffer-túlcsordulásos hibát fedezett fel a Rockwell Automation FactoryTalk Services Platform 2.90 és korábbi verzióiban.
A gyártó a hibát a szoftver legújabb verziójában javította. A sérülékenység részleteit az ICS-CERT bejelentése tartalmazza: https://ics-cert.us-cert.gov/advisories/ICSA-18-331-02
Sérülékenység Schneider Electric EcoStruxure rendszerekben
Donato Onofri, a Business Integration Partners S.p.A munkatársa egy sérülékenységet talált a Schneider Electric alábbi rendszereiben:
- EcoStruxure Power Monitoring Expert (PME) Version 8.2 (minden kiadás);
- EcoStruxure Energy Expert 1.3 (korábbi nevén Power Manager);
- EcoStruxure Power SCADA Operation (PSO) 8.2 Advanced Reports and Dashboards Module;
- EcoStruxure Power Monitoring Expert (PME) Version 9.0;
- EcoStruxure Energy Expert Version 2.0;
- EcoStruxure Power SCADA Operation (PSO) 9.0 Advanced Reports and Dashboards Module.
A gyártó egyes érintett termékekhez kiadta a javítást a felfedezett hibára, a javított termékekkel és a sérülékenységgel kapcsolatos további információkat az ICS-CERT weboldalán lehet megtalálni: https://ics-cert.us-cert.gov/advisories/ICSA-18-354-02
Horner Automation rendszerek sérülékenysége
rgod és mdm, a 9SG Security Team tagjai a ZDI-vel együttműködve jelentettek egy, a Horner Automation alábbi rendszereit érintő sérülékenységet az NCCIC-nek:
- Cscape Version 9.80.75.3 SP3 és korábbi verziók.
A gyártó a hibát a Cscape 9.80 SP4-ben javította. A sérülékenységről bővebben az ICS-CERT publikációjában lehet olvasni: https://ics-cert.us-cert.gov/advisories/ICSA-18-354-01
Sérülékenységek Schneider Electric EVLink rendszerekben
A gyártó bejelentése szerint Vladimir Kononovich és Vyacheslav Moskvin a Positive
Technologies munkatársai három sérülékenységet találtak az EVLink Parking v3.2.0
-12_v1 és korábbi verzióiban.
A gyártó a hibákat javító új verziót már elérhetővé tette. A sérülékenységekről további részleteket a Schneider Electric webodalán lehet találni.
Sérülékenység Schneider Electric Pro-Face GP-Pro EX termékekben
Yu Quiang, a Venustech-hez tartozó ADLab munkatársa egy sérülékenységet talált a Schneider Electric Pro-Face GP-Pro EX v4.08 és korábbi verzióiban.
A gyártó a sérülékenységet a V4.08.200 verzióban javította. A sérülékenységgel kapcsolatban bővebben a Schneider Electric weboldalán lehet olvasni.
Sérülékenységek Schneider Electric IIoT Monitor rendszerekben
A gyártó bejelentése szerint rgod a ZDI-vel együttműködve három sérülékenységet azonosított a Schneider Electric IIoT Monitor 3.1.38-as verziójában.
A gyártó a hibákat az IIoT Monitor legújabb verziójában javította. A sérülékenységek részleteit a Schneider Electric publikációjában lehet megtalálni.
A sérülékenységek negatív hatásainak csökkentése érdekében az ICS-CERT az alábbi kockázatcsökkentő intézkedések bevezetését javasolja:
- Minimálisra kell csökkenteni az ipari/egészségügyi rendszerek/hálózatok kapcsolatát az Internettel, az ilyen eszközök közvetlen Internetre történő csatlakoztatását kerülni kell;
- Az ipari/egészségügyi rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari/egészségügyi rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak;
- Amikor csak lehetséges el kell távolítani, le kell tiltani vagy meg kell változtatni az alapértelmezett felhasználói fiókok nevét és jelszavát;
- A nyers erőn (brute force) alapuló jelszótörések elleni védekezés jegyében felhasználói fiók-kizárási szabályokat célszerű alkalmazni;
- Erős jelszavak alkalmazását kikényszerítő szabályokat kell alkalmazni;
- Harmadik féltől származó alkalmazással célszerű monitorozni az adminisztrátori szintű jogosultságok kiadását;
- Az alapértelmezett beállításokat, amennyiben lehetséges, meg kell változtatni;
- A futó szolgáltatások hardening-jét célszerű elvégezni (csak azok a szolgáltatások fussanak, amik nélkülözhetetlenek);
- Biztonságos felhasználó kezelési és hozzáférési szabályokat kell életbe léptetni;
- A megbízhatónak tartott firmware és szoftver-verziókból célszerű (valamilyen szinten tűzálló páncélszekrényben) elzárt fizikai példányokkal rendelkezni (lehetőleg egyszer írható adathordozón, pl. CD/DVD, stb.);
- Ismerni kell a normális működéshez tartozó hálózati forgalmat;
- Ki kell alakítani a biztonsági naplózás és naplóelemzés képességét és ezekre építve a megfelelő riasztási eljárásokat;
- Az új beállításokat labor körülmények között célszerű tesztelni, mielőtt az éles (és tartalék) rendszerekben alkalmaznák azokat.
