Sérülékenységek Siemens SCALANCE termékekben
A Siemens két sérülékenységet talált a SCALANCE termékcsalád alábbi tagjaiban:
- SCALANCE SC-600 v2.0;
- SCALANCE XB-200 v4.1;
- SCALANCE XC-200 v4.1;
- SCALANCE XF-200BA v4.1;
- SCALANCE XP-200 v4.1;
- SCALANCE SR-300WG v4.1.
A gyártó egyelőre a SCALANCE SC-600-as eszközökhöz készített javítást. A sérülékenységekről bővebb információt a Siemens ProductCERT és az ICS-CERT oldalain lehet találni.
Siemens SINAMICS sérülékenység
A Siemens egy sérülékenységet jelentett a DHS CISA-nak, ami az alábbi termékeit érinti:
- SINAMICS GH150 v4.7 (vezérlő egység) minden verziója;
- SINAMICS GH150 v4.8 (vezérlő egység): minden, v4.8 SP2 HF6-nál korábbi verzió;
- SINAMICS GL150 v4.7 (vezérlő egység) minden verziója;
- SINAMICS GL150 v4.8 (vezérlő egység): minden, v4.8 SP2 HF7-nél korábbi verzió;
- SINAMICS GM150 v4.7 (vezérlő egység) minden verziója;
- SINAMICS GM150 v4.8 (vezérlő egység): minden, v4.8 SP2 HF9-nél korábbi verzió;
- SINAMICS SL150 v4.7 (vezérlő egység) minden verziója;
- SINAMICS SL150 v4.8 (vezérlő egység) minden verziója;
- SINAMICS SM120 v4.7 (vezérlő egység) minden verziója;
- SINAMICS SM120 v4.8 (vezérlő egység) minden verziója;
- SINAMICS SM150 v4.8 (vezérlő egység) minden verziója.
A gyártó a hibát a v4.8 SP2 HF9 verzióban javította. A sérülékenységről további információkat a Siemens ProductCERT és az ICS-CERT publikációiban lehet olvasni.
Sérülékenység SCALANCE X switch-ekben
Younes Dragoni és Alessandro Di Pinto, a Nozomi Networks munkatársai egy szolgáltatás-megtagadásos támadást lehetővé tevő hibát találtak az alábbi SCALANCE X switch-ekben:
- SCALANCE X-200 minden verziója;
- SCALANCE X-200IRT minden verziója;
- SCALANCE X-200RNA minden verziója.
A hibával kapcsolatban a gyártó kockázatcsökkentő intézkedések bevezetését javasolja. A sérülékenységgel kapcsolatban részleteket a Siemens ProductCERT és az ICS-CERT bejelentéseiben lehet találni.
Sérülékenységek Siemens S7 eszközökben
A Siemens ProductCERT publikációja szerint a Haifa-i Műszaki egyetem Informatikai Karának munkatársai (Eli Biham, Sara Bitan, Aviad Carmel és Alon Dankner) és a Tel-Aviv-i Egyetem Villamosmérnöki Karának munkatársai (Uriel Malin és Avishai Wool) két sérülékenységet találtak a Siemens alábbi eszközeiben:
- SIMATIC ET 200SP Open Controller CPU1515SP PC minden verziója;
- SIMATIC ET 200SP Open Controller CPU1515SP PC2 minden verziója;
- SIMATIC S7-1200 CPU család V4.0 és minden korábbi verziója;
- SIMATIC S7-1500 CPU család minden verziója;
- SIMATIC S7-1500 szoftveres vezérlő minden verziója;
- SIMATIC S7-PLCSIM Advanced minden verziója.
A sérülékenységekkel kapcsolatban a gyártó kockázatcsökkentő intézkedések bevezetését javasolja. A sérülékenységekről további részleteket a Siemes ProductCERT bejelentésében lehet olvasni: https://cert-portal.siemens.com/productcert/pdf/ssa-232418.pdf
Delta Electrics rendszerek sérülékenységei
kimiya, a 9SG biztonsági csoport tagja a ZDI-vel együttműködve két sérülékenységről osztott meg információkat a DHS CISA-val, ami a Delta Electrics DOPSoft nevű HMI-szerkesztő szoftverének 4.00.06.15-ös és korábbi verzióit érintik.
A gyártó a hibát a 4.00.06.47-es verzióban javította. A sérülékenységekről részleteket az ICS-CERT weboldalán lehet találni: https://www.us-cert.gov/ics/advisories/icsa-19-225-01
Sérülékenységek Johnson Controls rendszerekben
Egy harpocrates.ghost néven ismert biztonsági kutató két sérülékenységet jelentett a Johnson Controls-nak, amik a Metasys nevű rendszer 9.0-nál korábbi verzióit érintik.
A gyártó a hibákat a 9.0 és későbbi verziókban javította. A sérülékenységekről további információkat az ICS-CERT publikációjában lehet olvasni: https://www.us-cert.gov/ics/advisories/icsa-19-227-01
Fuji Electric rendszerek sérülékenysége
Natnael Samson a ZDI-vel együttműködve egy sérülékenységet jelentett a DHS CISA-nak. A sérülékenység az Alpha Smart Loader minden, 4.2-nél korábbi verzióját érinti.
A gyártó a hibát az Alpha Smart Loader 4.2-es verziójában javította. A sérülékenységről bővebben az ICS-CERT weboldalán lehet olvasni: https://www.us-cert.gov/ics/advisories/icsa-19-227-02
A fenti sérülékenységekkel kapcsolatban az ICS-CERT az alábbi kockázatcsökkentő intézkedések fontosságát hangsúlyozza:
- Minimálisra kell csökkenteni az ipari/egészségügyi rendszerek/hálózatok kapcsolatát az Internettel, az ilyen eszközök közvetlen Internetre történő csatlakoztatását kerülni kell;
- Az ipari/egészségügyi rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari/egészségügyi rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak;
- Amikor csak lehetséges el kell távolítani, le kell tiltani vagy meg kell változtatni az alapértelmezett felhasználói fiókok nevét és jelszavát;
- A nyers erőn (brute force) alapuló jelszótörések elleni védekezés jegyében felhasználói fiók-kizárási szabályokat célszerű alkalmazni;
- Erős jelszavak alkalmazását kikényszerítő szabályokat kell alkalmazni;
- Harmadik féltől származó alkalmazással célszerű monitorozni az adminisztrátori szintű jogosultságok kiadását;
- Az alapértelmezett beállításokat, amennyiben lehetséges, meg kell változtatni;
- A futó szolgáltatások hardening-jét célszerű elvégezni (csak azok a szolgáltatások fussanak, amik nélkülözhetetlenek);
- Biztonságos felhasználó kezelési és hozzáférési szabályokat kell életbe léptetni;
- A megbízhatónak tartott firmware és szoftver-verziókból célszerű (valamilyen szinten tűzálló páncélszekrényben) elzárt fizikai példányokkal rendelkezni (lehetőleg egyszer írható adathordozón, pl. CD/DVD, stb.);
- Ismerni kell a normális működéshez tartozó hálózati forgalmat;
- Ki kell alakítani a biztonsági naplózás és naplóelemzés képességét és ezekre építve a megfelelő riasztási eljárásokat;
- Az új beállításokat labor körülmények között célszerű tesztelni, mielőtt az éles (és tartalék) rendszerekben alkalmaznák azokat.
