Emerson rendszerek sérülékenysége

Maxim Rupp egy sérülékenységet jelentett a DHS CISA-nak az Emerson Rosemount X-STREAM gáz elemző szoftvereinek alábbi verzióival kapcsolatban:

- X-STREAM enhanced XEGP minden verziója;
- X-STREAM enhanced XEGK minden verziója;
- X-STREAM enhanced XEFD minden verziója;
- X-STREAM enhanced XEXF minden verziója.

A gyártó a hibát az érintett termékekhez kiadott legújabb firmware-verzióban javította. A sérülékenységről bővebben az ICS-CERT publikácójában lehet olvasni: https://us-cert.cisa.gov/ics/advisories/icsa-20-352-01

Sérülékenységek PTC Kepware KEPServerEX komponensekben

Uri Katz, a Claroty munkatársa 3 sérülékenységet fedezett fel a PTC Kepware KEPServerEX platformjának alábbi termékeiben:

- KEPServerEX v6.0-tól v6.9-ig terjedő verziói;
- ThingWorx Kepware Server v6.8-tól v6.9-ig terjedő verziói;
- ThingWorx Industrial Connectivity minden verziója;
- OPC-Aggregator minden verziója;

Az alábbi termékek esetében lehetséges, hogy érintettek a most publikált sérülékenységek által:

- Rockwell Automation KEPServer Enterprise;
- GE Digital Industrial Gateway Server v7.68.804-től v7.66-ig terjedő verziói;
- Software Toolbox TOP Server minden 6.x verziója.

A gyártó a hibákat az érintett termékei legújabb verzióiban javította. A sérülékenységekkel kapcsolatban bővebb információkat az ICS-CERT bejelentése tartalmaz: https://us-cert.cisa.gov/ics/advisories/icsa-20-352-02

PTC Kepware LinkMaster sérülékenység

Yuri Kramarz, a Cisco Talos munkatársa egy sérülékenységet talált a PTC Kepware LinkMaster nevű rendszerének 3.0.94.0 és korábbi verzióiban.

A gyártó a hibával kapcsolatban a 3.0.99-es verzióra történő frissítést javasolja. A sérülékenységről további információkat az ICS-CERT weboldalán lehet találni: https://us-cert.cisa.gov/ics/advisories/icsa-20-352-03

Sérülékenységek Treck TCP/IP Stack implementációkban

Az Intel munkatársai 4 sérülékenységet találtak a Treck TCP/IP stack 6.0.1.67-es és korábbi verzióiban az alábbi komponensekben:

- HTTP Server;
- IPv6;
- DHCPv6.

A Treck a hibákat a TCP/IP Stack 6.0.1.68-as és későbbi verzióiban javította. A sérülékenységek részleteiről az ICS-CERT publikácójából lehet tájékozódni: https://us-cert.cisa.gov/ics/advisories/icsa-20-353-01

Treck TCP/IP stack sérülékenységek Schneider Electric termékekben

Az előzőekben ismertetett Treck TCP/IP stack sérülékenységek a Schneider Electric egyes termékeit is érintik.

Az IPv6 komponens sérülékenysége az alábbi termékeket érinti:

- ATV340E Altivar Machine Drives minden, V3.2IE25-nél korábbi verziója;
- ATV630/650/660/680/6A0/6B0 Altivar Process Drives minden, V3.3IE33-nál korábbi verziója;
- ATV930/950/960/980/9A0/9B0 Altivar Process Drives minden, V3.3IE26-nál korábbi verziója;
- 6VW3A3720, VW3A3721 Altivar Process Communication Modules minden, V1.15IE25-nél korábbi verziója;
- APC Network Management Card 2 (NMC2) - AP9630/30CH/30J, AP9631/31CH/31J, AP9635/35CH, AP9537SUM minden, AOS V6.9.6-nál korábbi verziója;
- APC Network Management Card 3 (NMC3) - AP9640, AP9641 minden, AOS V1.4.0-nál korábbi verziója;
- TM3 Bus Coupler EIP Firmware V2.1.50.2 és korábbi verziói;
- ATV6000 Medium Voltage Altivar Process Drives minden verziója;
- eIFE Ethernet Interface for MasterPact MTZ drawout circuit breakers minden verziója;
- IFE Ethernet Interface for ComPact, PowerPact, and MasterPact circuit breakers minden verziója;
- IFE Gateway minden verziója;
- Acti9 Smartlink IP minden verziója;
- Acti9 PowerTag Link/HD minden verziója;
- Acti9 Smartlink SI D minden verziója;
- Acti9 Smartlink SI B minden verziója;
- EGX150/Link150 Ethernet Gateway minden verziója.

A HTTP Server komponens sérülékenységei az alábbi termékekben található meg:

- TM3 Bus Coupler – EIP 2.1.50.2 és korábbi firmware-verziók;
- TM3 Bus Coupler – SL 2.0.50.2 és korábbi firmware-verziók;
- TM3 Bus Coupler – CANOpen 2.0.50.2 és korábbi firmware-verziók.

A hibákra kiadott javításokról és a sérülékenységek további információiról a Schneider Electric által kiadott dokumentációkból lehet tájékozódni.

A fenti sérülékenységek negatív hatásainak csökkentése érdekében az ICS-CERT az alábbi kockázatcsökkentő intézkedések bevezetését javasolja:

- Minimálisra kell csökkenteni az ipari/egészségügyi rendszerek/hálózatok kapcsolatát az Internettel, az ilyen eszközök közvetlen Internetre történő csatlakoztatását kerülni kell;
- Az ipari/egészségügyi rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari/egészségügyi rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak;
- Amikor csak lehetséges el kell távolítani, le kell tiltani vagy meg kell változtatni az alapértelmezett felhasználói fiókok nevét és jelszavát;
- A nyers erőn (brute force) alapuló jelszótörések elleni védekezés jegyében felhasználói fiók-kizárási szabályokat célszerű alkalmazni;
- Erős jelszavak alkalmazását kikényszerítő szabályokat kell alkalmazni;
- Harmadik féltől származó alkalmazással célszerű monitorozni az adminisztrátori szintű jogosultságok kiadását;
- Az alapértelmezett beállításokat, amennyiben lehetséges, meg kell változtatni;
- A futó szolgáltatások hardening-jét célszerű elvégezni (csak azok a szolgáltatások fussanak, amik nélkülözhetetlenek);
- Biztonságos felhasználókezelési és hozzáférési szabályokat kell életbe léptetni;
- A megbízhatónak tartott firmware és szoftver-verziókból célszerű (valamilyen szinten tűzálló páncélszekrényben) elzárt fizikai példányokkal rendelkezni (lehetőleg egyszer írható adathordozón, pl. CD/DVD, stb.);
- Ismerni kell a normális működéshez tartozó hálózati forgalmat;
- Ki kell alakítani a biztonsági naplózás és naplóelemzés képességét és ezekre építve a megfelelő riasztási eljárásokat;
- Az új beállításokat labor körülmények között célszerű tesztelni, mielőtt az éles (és tartalék) rendszerekben alkalmaznák azokat.