Delta Electronics CNCSoft ScreenEditor sérülékenység
A Kimiya néven ismert biztonsági kutató, a ZDI-vel együttműködésben egy sérülékenységet jelentett a DHS CISA-nak, ami a Delta Electronics CNCSoft ScreenEditor nevű termékének 1.01.26-os és korábbi verzióit érinti.
A gyártó a hibát az 1.01.28-as verzióban javította. A sérülékenység részleteit az ICS-CERT publikációja tartalmazza: https://us-cert.cisa.gov/ics/advisories/icsa-21-005-06
Sérülékenységek Delta Electronics DOPSoft szoftverekben
Kimiya, a ZDI-vel együttműködve két sérülékenységről közölt információkat a DHS CISA-val, amik a Delta Electronics DOPSoft, egy, a Delta Electronics DOP-100-as sorozatú HMI-aihoz használható szoftver 4.0.8.21 és korábbi verzióit érintik.
A gyártó már elérhetővé tette a hibát javító újabb verziókat. A sérülékenységről további információkat az ICS-CERT bejelentése tartalmaz: https://us-cert.cisa.gov/ics/advisories/icsa-21-005-05
Sérülékenységek Red Lion rendszerekben
Marco Balduzzi, Ryan Flores, Philippe Lin, Charles Perine, Ryan Flores és Rainer Vosseler, a ZDI-vel közösen három sérülékenységet jelentettek a DHS CISA-nak. A sérülépkenységek a Red Lion DA10D protokoll konverterhez használható Crimson 3.1-es verziójának 3119.001-nél korábbi build-jeit érintik.
A gyártó a hibákat a 3119.001-es build-ben és későbbi verziókban javította. A sérülékenységgel kapcsolatban további részleteket az ICS-CERT weboldalán lehet találni: https://us-cert.cisa.gov/ics/advisories/icsa-21-005-04
Sérülékenységek GE rendszerekben
Tom Westenberg, a Thales UK munkatársa két sérülékenységet jelentett a GE-nek a gyártó Reason RT430-as, RT431-es és RT434-es GNSS óráinak minden, 08A06-osnál korábbi firmware-verziójával kapcsolatban.
A gyártó a hibákkal kapcsolatban minden, Reason RT43X sorozatú berendezéseket használó ügyfelének a 08A06 vagy újabb firmware-verzióra történő frissítést javasolja. A sérülékenységek részletesebb információit az ICS-CERT publikációjában lehet elérni: https://us-cert.cisa.gov/ics/advisories/icsa-21-005-03
Panasonic FPWIN Pro sérülékenység
Francis Provencher a ZDI-vel közösen egy sérülékenységet jelentett a DHS CISA-nak, ami a Panasonic FPWIN Pro, egy az FP sorozatú PLC-k programozásához használható szoftver 7.5.0.0 és korábbi verzióiban.
A gyártó a hibát az FPWIN Pro 7.5.1.0 verzióban javította. A sérülékenységgel kapcsolatban bővebb információkat az ICS-CERT bejelentése tartalmaz: https://us-cert.cisa.gov/ics/advisories/icsa-21-005-02
Sérülékenységek Delta Electronics szoftver menedzsment megoldásban
Kimiya, a ZDI-vel együttműködve összesen négy sérülékenységet talált a Delta Electronics CNCSoft-B nevű szoftver menedzsment megoldásának 1.0.0.2-es és korábbi verzióiban.
A gyártó a hibákat a CNCSoft-B 1.0.0.3-as verziójában javította. A sérülékenységekről további részleteket az ICS-CERT weboldalán lehet olvasni: https://us-cert.cisa.gov/ics/advisories/icsa-21-007-04
Eaton EASYsoft sérülékenységek
Francis Provencher a ZDI-vel együttműködésben két sérülékenységet talált az Eaton EASYsoft 7.20-as és korábbi verzióiban.
A gyártó a jelentések szerint várhatóan január végén fogja kiadni a hibákat javító újabb verziót. A sérülékenységekről bővebb információkat az ICS-CERT publikációjában lehet találni: https://us-cert.cisa.gov/ics/advisories/icsa-21-007-03
Sérülékenységek Omron rendszerekben
rgod, a ZDI-vel közösen három sérülékenységet talált az Omron alábbi rendszereiben:
CX-One 4.60 és korábbi verziói, beleértve az alábbi alkalmazásokat:
- CX-Protocol 2.02 és korábbi verziói;
- CX-Server 5.0.28 és korábbi verziói;
- CX-Position 2.52 és korábbi verziói.
A gyártó a hibákat az elérhető legújabb verziókban javította. A sérülékenységekről részletesebb információkat az ICS-CERT bejelentése tartalmaz: https://us-cert.cisa.gov/ics/advisories/icsa-21-007-02
Innokas Yhtymä rendszerek sérülékenységek
Julian Suleder, Nils Emmerich és Birk Kauer, az ERNW Research GmbH, valamint Dr. Oliver Matula, ERNW Enno Rey Netzwerke GmbH munkatársai két sérülékenységet találtak a finn Innokas Yhtymä Oy által gyártott alábbi orvosi rendszerekben:
- Vital Signs Monitors VC150 1.7.15-nél korábbi verziói.
A gyártó a hibákat az 1.7.15b és későbbi verziókban javította. A sérülékenységekkel kapcsolatban bővebb információkat az ICS-CERT weoldalán lehet találni: https://us-cert.cisa.gov/ics/advisories/icsma-21-007-01
Sérülékenység Hitachi ABB Power Grids rendszerekben
A Hitachi ABB Power Grids egy sérülékenységről közölt információkat a DHS CISA-val, ami az alábbi termékeiket érinti:
- CESM1/CESM2-t használó FOX61x R1 berendezések cesne_r1h07_12.esw-nél korábbi verziói;
- CESM1/CESM2-t használó FOX61x R2 berendezések cesne_r2d14_03.esw-nél korábbi verziói.
A hibákat javító verziókat a gyártó már elérhetővé tette. A sérülékenység részleteit az ICS-CERT publikációja tartalmazza: https://us-cert.cisa.gov/ics/advisories/icsa-21-007-01
A sérülékenységek negatív hatásainak csökkentése érdekében az ICS-CERT az alábbi kockázatcsökkentő intézkedések bevezetését javasolja:
- Minimálisra kell csökkenteni az ipari/egészségügyi rendszerek/hálózatok kapcsolatát az Internettel, az ilyen eszközök közvetlen Internetre történő csatlakoztatását kerülni kell;
- Az ipari/egészségügyi rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari/egészségügyi rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak;
- Amikor csak lehetséges el kell távolítani, le kell tiltani vagy meg kell változtatni az alapértelmezett felhasználói fiókok nevét és jelszavát;
- A nyers erőn (brute force) alapuló jelszótörések elleni védekezés jegyében felhasználói fiók-kizárási szabályokat célszerű alkalmazni;
- Erős jelszavak alkalmazását kikényszerítő szabályokat kell alkalmazni;
- Harmadik féltől származó alkalmazással célszerű monitorozni az adminisztrátori szintű jogosultságok kiadását;
- Az alapértelmezett beállításokat, amennyiben lehetséges, meg kell változtatni;
- A futó szolgáltatások hardening-jét célszerű elvégezni (csak azok a szolgáltatások fussanak, amik nélkülözhetetlenek);
- Biztonságos felhasználókezelési és hozzáférési szabályokat kell életbe léptetni;
- A megbízhatónak tartott firmware és szoftver-verziókból célszerű (valamilyen szinten tűzálló páncélszekrényben) elzárt fizikai példányokkal rendelkezni (lehetőleg egyszer írható adathordozón, pl. CD/DVD, stb.);
- Ismerni kell a normális működéshez tartozó hálózati forgalmat;
- Ki kell alakítani a biztonsági naplózás és naplóelemzés képességét és ezekre építve a megfelelő riasztási eljárásokat;
- Az új beállításokat labor körülmények között célszerű tesztelni, mielőtt az éles (és tartalék) rendszerekben alkalmaznák azokat.
