Siemens SIMATIC TIM rendszerek sérülékenységei
A Siemens két sérülékenységet jelentett a DHS CISA-nak, ami az alábbi rendszereikben használt, harmadik féltől származó libcurl komponenst érintik:
- SIMATIC TIM 1531 IRC (beleértve a SIPLUS NET változatokat is) minden v2.2-nél korábbi verziója.
A gyártó a hibákat a v2.2-es és újabb verziókban javította. A sérülékenységekről további részleteket a Siemens ProductCERT és az ICS-CERT publikációi tartalmaznak.
Ugyanezt a terméket és ezeket a verziókat érinti az a DoS-támadásokat lehetővé tevő hiba, amit szintén a Siemens talált saját termékében és ugyancsak a v2.2 és újabb verziókban javítottak. Erről a sérülékenységről szintén a Siemens ProductCERT és az ICS-CERT weboldalain írnak.
Sérülékenység Siemens Mendix SAML modulokban
A Siemens egy sérülékenységet talált a Mendix nevű termékük SAML moduljának 2.1.2-t megelőző verzióiban.
A gyártó a hibát a 2.1.2-es és újabb verziókban javította. A sérülékenység részleteiről a Siemens ProductCERT és az ICS-CERT bejelentéseiben lehet olvasni.
Siemens Solid Edge sérülékenységek
A Garmin, a ZDI-vel együttműködve két sérülékenységet jelentett a Siemens-nek, amiket a Solid Edge szoftvereszközök alábbi verzióiban fedeztek fel:
- Solid Edge SE2020 minden, 2020MP14-nél korábbi verzió;
- Solid Edge SE2021 minden, SE2021MP5-nél korábbi verzió.
A gyártó a hibákat az érintett szoftverek újabb verzióiban javította. A sérülékenységekkel kapcsolatos bővebb információkat a Siemens ProductCERT és az ICS-CERT weboldalai lehet elérni.
Sérülékenységek Hillrom orvostechnikai rendszerekben
Itamar Cohen-Matalon, a Medigate Reserach Labs munkatársa két sérülékenységet jelentett a Hillrom-nak, ami gyártó alábbi megoldásai érintik:
- Welch Allyn Service Tool v1.10-nél korábbi verziói;
- Welch Allyn Connex Device Integration Suite – Network Connectivity Engine (NCE) v5.3-nál korábbi verziói;
- Welch Allyn Software Development Kit (SDK) v3.2-nél korábbi verziói;
- Welch Allyn Connex Central Station (CS) v1.8.6-nál korábbi verziói;
- Welch Allyn Service Monitor v1.7.0.0-nál korábbi verziói;
- Welch Allyn Connex Vital Signs Monitor (CVSM) v2.43.02-nél korábbi verziói;
- Welch Allyn Connex Integrated Wall System (CIWS) v2.43.02-nél korábbi verziói;
- Welch Allyn Connex Spot Monitor (CSM) v1.52-nél korábbi verziói;
- Welch Allyn Spot Vital Signs 4400 Device (Spot 4400)/Welch Allyn Spot 4400 Vital Signs Extended Care Device v1.11.00-nál korábbi verziói.
A gyártó a hibákat az érintett termékek legújabb verzióiban elérhetővé tette (két termék esetében 2021. nyarán illetve őszén fogja ezt megtenni). A sérülékenység részleteit az ICS-CERT publikációja tartalmazza: https://us-cert.cisa.gov/ics/advisories/icsma-21-152-01
Advantech iView sérülékenységek
Selim Enes Karaduman a ZDI-vel együtt dolgozva jelentett két sérülékenységet a DHS CISA-nak, amiket az Advantech iView v5.7.03.6182-nél korábbi verzióiban talált.
A gyártó a hibákat a v5.7.03.6182-es verzióban javította. A sérülékenységekről bővebben az ICS-CERT bejelentésében lehet lehet olvasni: https://us-cert.cisa.gov/ics/advisories/icsa-21-154-01
Sérülékenység Thales rendszerekben
Egy névtelenségét őrző kutató egy sérülékenységet jelentett a DHS CISA-nak a Thales Sentinel LDK Run-Time Environment nevű megoldásának 7.6-os és korábbi verzióival kapcsolatban.
A gyártó a hibát a 8.15-ös és későbbi verziókban javította. A sérülékenységgel kapcsolatban további információkat az ICS-CERT weboldalán lehet találni: https://us-cert.cisa.gov/ics/advisories/icsa-21-159-06
Schneider Electric Modicon sérülékenység
Chizuru Toyama, a TrendMicro TXOne IoT/ICS Security Research Labs munkatársa egy sérülékenységet jelentett a DHS CISA-nak, amit a Schneider Electric Modicon X80 BMXNOR0200H típusú RTU-inak SV1.70 IR22 és korábbi verzióiban talált.
A hibával kapcsolatban a gyártó kockázatcsökkentő intézkedések alkalmazását javasolja. A sérülékenységről további részleteket az ICS-CERT publikációjában lehet elérni: https://us-cert.cisa.gov/ics/advisories/icsa-21-159-05
Schneider Electric IGSS sérülékenységek
Kimiya, a ZDI-vel együttműködve és tőlük függetlenül Michael Heinzl 13 sérülékenységet jelentettek a DHS CISA-ank a Schneider Electric IGSS v15.0.0.21140-es és korábbi verzióiban.
A gyártó a hibákat az IGSS 15.0.0.21141-es verziójában javította. A sérülékenységekről bővebb információkat az ICS-CERT bejelentésében lehet megtalálni: https://us-cert.cisa.gov/ics/advisories/icsa-21-159-04
Sérülékenység AVEVA InTouch rendszerekben
Ilya Karpov, Evgeniy Druzhinin és Konstantin Kondratev, a Rostelecom-Solar munkatársai egy sérülékenységet találtak az AVEVA InTouch 2020R2 és korábbi verzióiban.
A gyártó a hibát javító patch-eket és újabb verziókat már elérhetővé tette. A sérülékenységgel kapcsolatos további információkat az ICS-CERT weboldalán lehet olvasni: https://us-cert.cisa.gov/ics/advisories/icsa-21-159-03
Open Design Alliance Drawings SDK sérülékenységek
Mat Powell és Brian Gorenc, a ZDI munkatársai 8 sérülékenységet jelentettek DHS CISA-nak, ami az Open Design Alliance alábbi szoftvereit érinti:
- Drawings SDK minden, 2022.4-nél korábbi verziója;
- Drawing SDK 2022.4-es verzióját a nyolc sérülékenységből kettő érinti.
A gyártó a hibákkal kapcsolatban a 2022.5-ös és újabb verziókban javította. A sérülékenységek részleteit az ICS-CERT publikációjában lehet elérni: https://us-cert.cisa.gov/ics/advisories/icsa-21-159-02
Sérülékenység Johnson Controls rendszerekben
Jakub Palaczynski egy sérülékenységet jelentett a Johnson Controls-nak, ami a gyártó Metasys nevű épületautomatizálási termékének minden verzióját érinti.
A gyártó a még támogatott verziókhoz (9.0, 10.0, 10.1, 11.0) kiadta a hibát javító patch-eket. A sérülékenység részletei az ICS-CERT bejelentésében találhatóak meg: https://us-cert.cisa.gov/ics/advisories/icsa-21-159-01
Moxa NPort berendezések sérülékenységei
Konstantin Kondratev, Evgeniy Druzhinin és Ilya Karpov, a Rostelecom-Solar munkatársai 4 sérülékenységet találtak a Moxa NPort IAW5000A-I/O sorozatú eszközeinek 2.2 és korábbi verzióiban.
A gyártó a hibát javító új verziót már elérhetővé tette. A sérülékenységgel kapcsolatban további részleteket a Moxa weboldalán lehet megtalálni.
A fenti sérülékenységek negatív hatásainak csökkentése érdekében az ICS-CERT az alábbi kockázatcsökkentő intézkedések bevezetését javasolja:
- Minimálisra kell csökkenteni az ipari/egészségügyi rendszerek/hálózatok kapcsolatát az Internettel, az ilyen eszközök közvetlen Internetre történő csatlakoztatását kerülni kell;
- Az ipari/egészségügyi rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari/egészségügyi rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak;
- Amikor csak lehetséges el kell távolítani, le kell tiltani vagy meg kell változtatni az alapértelmezett felhasználói fiókok nevét és jelszavát;
- A nyers erőn (brute force) alapuló jelszótörések elleni védekezés jegyében felhasználói fiók-kizárási szabályokat célszerű alkalmazni;
- Erős jelszavak alkalmazását kikényszerítő szabályokat kell alkalmazni;
- Harmadik féltől származó alkalmazással célszerű monitorozni az adminisztrátori szintű jogosultságok kiadását;
- Az alapértelmezett beállításokat, amennyiben lehetséges, meg kell változtatni;
- A futó szolgáltatások hardening-jét célszerű elvégezni (csak azok a szolgáltatások fussanak, amik nélkülözhetetlenek);
- Biztonságos felhasználókezelési és hozzáférési szabályokat kell életbe léptetni;
- A megbízhatónak tartott firmware és szoftver-verziókból célszerű (valamilyen szinten tűzálló páncélszekrényben) elzárt fizikai példányokkal rendelkezni (lehetőleg egyszer írható adathordozón, pl. CD/DVD, stb.);
- Ismerni kell a normális működéshez tartozó hálózati forgalmat;
- Ki kell alakítani a biztonsági naplózás és naplóelemzés képességét és ezekre építve a megfelelő riasztási eljárásokat;
- Az új beállításokat labor körülmények között célszerű tesztelni, mielőtt az éles (és tartalék) rendszerekben alkalmaznák azokat.
