Sérülékenységek Computrols CBAS Web rendszerekben
Gjoko Krstic, az Applied Risk munkatársa kilenc sérülékenységet fedezett fel a Computrols CBAS Web nevű épület-automatizálási rendszerének összes, az alábbi verzióknál korábbi verzióiban:
- 19.0.1;
- 18.0.1;
- 15.0.1;
- 14.0.1;
- 8.0.7;
- 7.2.1-Beta;
- 6.9.2;
- 4.8.2;
- 3.15.1.
A gyártó a hibákat javító verziót már elérhetővé tette. A sérülékenységekről további információkat az ICS-CERT publikációjában lehet találni: https://ics-cert.us-cert.gov/advisories/ICSA-19-141-01
Sérülékenység Mitsubishi Electric MELSEC-Q berendezésekben
Younes Dragoni és Alessandro Di Pinto, a Nozomi Networks munkatársai egy sérülékenységet találtak a Mitsubishi Electric alábbi, MELSEC-Q sorozatú Ethernet moduljaiban:
- QJ71E71-100 sorozatszámú eszközök 20121 és korábbi verziói.
A gyártó a hibát 20122-es firmware-ben javította. A sérülékenységgel kapcsolatban bővebben az ICS-CERT bejelentésében lehet olvasni: https://ics-cert.us-cert.gov/advisories/ICSA-19-141-02
RDP sérülékenységek Siemens Healthineers termékekben
A Siemens ProductCERT publikáció szerint számos terméküket érinti a Microsoft Windows egyes operációs rendszereit érintő RDP-sérülékenység:
- Point of Care diagnosztikai termékek:
- AUWi minden verziója;
- AUWi Pro minden verziója;
- Rapid Point 500 2.2-es verziója;
- Rapid Point 500 2.2.1-es verziója;
- Rapid Point 500 2.2.2-es verziója;
- Rapid Point 500 2.3-as verziója;
- Rapid Point 500 2.3.1-es verziója;
- Rapid Point 500 2.3.2-es verziója;
- Röntgenográfiai és mobil röntgen berendezések:
- AXIOM Multix M minden, Canon detektorral szerelt verziója;
- AXIOM Vertix MD Trauma minden, Canon detektorral szerelt verziója;
- AXIOM Vertix Solitaire M minden, Canon detektorral szerelt verziója;
- MOBILETT XP Digital minden, Canon detektorral szerelt verziója;
- MULTIX PRO ACSS P minden, Canon detektorral szerelt verziója;
- MULTIX PRO P minden, Canon detektorral szerelt verziója;
- MULTIX PRO/PRO ACSS/PRO Navy minden, Canon detektorral szerelt verziója;
- MULTIX Swing minden, Canon detektorral szerelt verziója;
- MULTIX TOP minden, Canon detektorral szerelt verziója;
- MULTIX TOP ACSS minden, Canon detektorral szerelt verziója;
- MULTIX TOP P/TOP ACSS P minden, Canon detektorral szerelt verziója;
- VERTIX SOLITAIRE minden, Canon detektorral szerelt verziója.
- Laboratóriumi diagnosztikai termékek:
- Atellica Solution minden verziója;
- Siemens Aptio minden verziója;
- Inpeco Aptio minden verziója;
- StreamLab minden verziója;
- CentraLink minden verziója;
- syngo Lab Process Manager minden verziója;
- Viva E minden verziója;
- Viva Twin minden verziója;
- Atellica COAG 360 minden, Windows 7-es verziója;
- Atellica NEPH 630 minden, Windows 7-es verziója;
- BCS XP minden, Windows 7-es verziója;
- BCS XP minden, Windows XP-s verziója;
- BN ProSpec minden, Windows 7-es verziója;
- BN ProSpec minden, Windows XP-s verziója;
- CS 2000 minden, Windows 7-es verziója;
- CS 2000 minden, Windows XP-s verziója;
- CS 2100 minden, Windows 7-es verziója;
- CS 2100 minden, Windows XP-s verziója;
- CS 2500 minden, Windows 7-es verziója;
- CS 5100 minden, Windows 7-es verziója;
- CS 5100 minden, Windows XP-s verziója;
- Onkológiai radiológiai termékek:
- Lantis minden verziója;
- Siemens Healthineers szoftverek:
- MagicLink A minden verzió;
- Magic View 1000W minden verzió;
- Magic View 300 minden verzió;
- Medicalis Clinical Decision Support minden verzió;
- Medicalis Intelligo minden verzió;
- Medicalis Referral Management minden verzió;
- Medicalis Workflow Orchestrator minden verzió;
- Screening Navigator minden verzió;
- syngo Dynamics VA10 és korábbi verziói;
- syngo Imaging minden verzió;
- syngo Plaza minden verzió;
- syngo Workflow MLR minden verzió;
- syngo Workflow SLR minden verzió;
- syngo.via minden verzió;
- syngo.via View&GO minden verzió;
- syngo.via WebViewer minden verzió;
- teamplay (csak a fogadó szoftver) minden verzió;
- Siemens Healthineers fejlett terápiás termékek:
- SYSTEM ACOM.NET, Mat. Nr. 04815549 VC20A, VC21B, VC22B és VX22A verziói;
- System ACOM.net 2.0, Mat. Nr. 05568386 VC20A, VC21B, VC22B és VX22A verziói;
- System ACOM-Net, Mat. Nr. 5903872 VC20A, VC21B, VC22B és VX22A verziói;
- Sensis SIS Server Machine, Mat. Nr. 06648153 VC11C/D, VC12B/C és VC12L/M verziói;
- Sensis High End SIS Server, Mat. Nr. 10140973 VC11C/D, VC12B/C és VC12L/M verziói;
- SENSIS Dell High-End Server (VC12), Mat. Nr.10910620:VC11C/D, VC12B/C és VC12L/M verziói;
- VM SIS Virtual Server, Mat. Nr. 10765502 VC11C/D, VC12B/C és VC12L/M.
Az egyes érintett termékeknél javasolt megvizsgálni, hogy rendelkezésre áll-e a megfelelő hibajavítás. A sérülékenységekről a Siemens ProductCERT bejelentései tartalmaznak részletesebb információkat:
https://cert-portal.siemens.com/productcert/pdf/ssa-616199.pdf
https://cert-portal.siemens.com/productcert/pdf/ssa-932041.pdf
https://cert-portal.siemens.com/productcert/pdf/ssa-832947.pdf
https://cert-portal.siemens.com/productcert/pdf/ssa-433987.pdf
https://cert-portal.siemens.com/productcert/pdf/ssa-406175.pdf
https://cert-portal.siemens.com/productcert/pdf/ssa-166360.pdf
A fenti sérülékenységek negatív hatásainak csökkentése érdekében az ICS-CERT az alábbi kockázatcsökkentő intézkedések bevezetését javasolja:
- Minimálisra kell csökkenteni az ipari/egészségügyi rendszerek/hálózatok kapcsolatát az Internettel, az ilyen eszközök közvetlen Internetre történő csatlakoztatását kerülni kell;
- Az ipari/egészségügyi rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari/egészségügyi rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak;
- Amikor csak lehetséges el kell távolítani, le kell tiltani vagy meg kell változtatni az alapértelmezett felhasználói fiókok nevét és jelszavát;
- A nyers erőn (brute force) alapuló jelszótörések elleni védekezés jegyében felhasználói fiók-kizárási szabályokat célszerű alkalmazni;
- Erős jelszavak alkalmazását kikényszerítő szabályokat kell alkalmazni;
- Harmadik féltől származó alkalmazással célszerű monitorozni az adminisztrátori szintű jogosultságok kiadását;
- Az alapértelmezett beállításokat, amennyiben lehetséges, meg kell változtatni;
- A futó szolgáltatások hardening-jét célszerű elvégezni (csak azok a szolgáltatások fussanak, amik nélkülözhetetlenek);
- Biztonságos felhasználó kezelési és hozzáférési szabályokat kell életbe léptetni;
- A megbízhatónak tartott firmware és szoftver-verziókból célszerű (valamilyen szinten tűzálló páncélszekrényben) elzárt fizikai példányokkal rendelkezni (lehetőleg egyszer írható adathordozón, pl. CD/DVD, stb.);
- Ismerni kell a normális működéshez tartozó hálózati forgalmat;
- Ki kell alakítani a biztonsági naplózás és naplóelemzés képességét és ezekre építve a megfelelő riasztási eljárásokat;
- Az új beállításokat labor körülmények között célszerű tesztelni, mielőtt az éles (és tartalék) rendszerekben alkalmaznák azokat.
