Hitachi ABB Power Grids TropOS sérülékenységek
A Hitachi ABB Power Grids összesen 12 sérülékenységről közölt információkat a DHS CISA-val, amiket a TropOS termékcsalád 8.9.4.8-as és korábbi firmware-verzióiban találtak.
A gyártó a hibát a 8.9.4.9-es és újabb firmware-verziókban javította. A sérülékenységekkel kapcsolatos további részleteket az ICS-CERT publikációja tartalmazza: https://us-cert.cisa.gov/ics/advisories/icsa-21-236-01
Sérülékenység Hitachi ABB Power Grids rendszerekben
Az ICS-CERT bejelentése szerint egy sérülékenységet azonosítottak a Hitachi ABB Power Grids alábbi rendszereiben:
- Retail Operations 5.7.2-es és korábbi verziói;
- Counterparty Settlement and Billing (CSB) 5.7.2-es és korábbi verziói.
A gyártó a hibát az érintett termékek 5.7.3-as és későbbi verzióiban javította. A sérülékenységről bővebb információkat az ICS-CERT bejelentésében lehet elérni: https://us-cert.cisa.gov/ics/advisories/icsa-21-236-02
Johnson Controls rendszerek sérülékenysége
A Johnson Controls egy sérülékenységről osztott meg információkat a DHS CISA-val, ami a Controlled Electronic Management Systems (CEM Systems) AC2000 10.1-től 10.5-ig terjedő verzióit érinti.
A hibát a gyártó a 10.5 Server Feature Pack 2, 10.6-os és ezek után következő jövőbeli verziókban fogja javítani, ezek megjelenéséig pedig kockázatcsökkentő intézkedések alkalmazását javasolja. A sérülékenységről bővebben az ICS-CERT weboldalán lehet olvasni: https://us-cert.cisa.gov/ics/advisories/icsa-21-238-01
Sérülékenység Annke rendszerekben
Andrea Palanca, a Nozomi Networks munkatársa egy sérülékenységet jelentett a DHS CISA-nak, amit az Annke N48PBB NVR rendszereinek V3.4.106 build 200422-es és korábbi verzióiban talált.
A gyártó a hibával kapcsolatban a legújabb, elérhető verzióra történő frissítést javasolja. A sérülékenység részleteiről az ICS-CERT publikációjából lehet tájékozódni: https://us-cert.cisa.gov/ics/advisories/icsa-21-238-02
Delta Electronics TPEditor sérülékenység
Kimiya, a ZDI-vel együttműködve egy sérülékenységről tájékoztatta a DHS CISA-t, amit a Delta Electronics TPEditor v1.98.06-os és korábbi verzióiban talált.
A gyártó a hibát a v1.98.07-es verzióban javította. A sérülékenységről további információkat az ICS-CERT bejelentése tartalmaz: https://us-cert.cisa.gov/ics/advisories/icsa-21-236-03
Sérülékenységek Delta Electronics DIAEnergie rendszerekben
Michael Heinzl 8 sérülékenységgel kapcsolatban osztott meg információkat a DHS CISA-val, amik a Delta Electronics DIAEnergie nevű megoldásának 1.7.5-ös és korábbi verzióit érintik.
A gyártó a hibákat a várhatóan 2021. szeptember 15-én megjelenő új verzióban fogja javítani. A sérülékenységekkel kapcsolatos részletek az ICS-CERT weboldalán érhetőek el: https://us-cert.cisa.gov/ics/advisories/icsa-21-238-03
Delta Electronics DOPSoft sérülékenység
Egy névtelenségbe burkolózó biztonsági kutató a ZDI-n keresztül egy sérülékenységről tájékoztatta a DHS CISA-t, amit a Delta Electronics DOPSoft 4.00.11-es és korábbi verzióiban talált.
A gyártó jelenleg is dolgozik a hiba javításán. A sérülékenység részleteiről az ICS-CERT publikációjából lehet többet megtudni: https://us-cert.cisa.gov/ics/advisories/icsa-21-238-04
Sérülékenységek B. Braun infúziós rendszerekben
A McAfee munkatársai 5 sérülékenységet találtak a B. Braun infúziós rendszereiben. Az érintett rendszerek listáját és a sérülékenységekkel kapcsolatos további részleteket a McAfee weboldalán lehet megtalálni.
A fenti sérülékenységekkel kapcsolatban az ICS-CERT az alábbi kockázatcsökkentő intézkedések fontosságát hangsúlyozza:
- Minimálisra kell csökkenteni az ipari/egészségügyi rendszerek/hálózatok kapcsolatát az Internettel, az ilyen eszközök közvetlen Internetre történő csatlakoztatását kerülni kell;
- Az ipari/egészségügyi rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari/egészségügyi rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak;
- Amikor csak lehetséges el kell távolítani, le kell tiltani vagy meg kell változtatni az alapértelmezett felhasználói fiókok nevét és jelszavát;
- A nyers erőn (brute force) alapuló jelszótörések elleni védekezés jegyében felhasználói fiók-kizárási szabályokat célszerű alkalmazni;
- Erős jelszavak alkalmazását kikényszerítő szabályokat kell alkalmazni;
- Harmadik féltől származó alkalmazással célszerű monitorozni az adminisztrátori szintű jogosultságok kiadását;
- Az alapértelmezett beállításokat, amennyiben lehetséges, meg kell változtatni;
- A futó szolgáltatások hardening-jét célszerű elvégezni (csak azok a szolgáltatások fussanak, amik nélkülözhetetlenek);
- Biztonságos felhasználókezelési és hozzáférési szabályokat kell életbe léptetni;
- A megbízhatónak tartott firmware és szoftver-verziókból célszerű (valamilyen szinten tűzálló páncélszekrényben) elzárt fizikai példányokkal rendelkezni (lehetőleg egyszer írható adathordozón, pl. CD/DVD, stb.);
- Ismerni kell a normális működéshez tartozó hálózati forgalmat;
- Ki kell alakítani a biztonsági naplózás és naplóelemzés képességét és ezekre építve a megfelelő riasztási eljárásokat;
- Az új beállításokat labor körülmények között célszerű tesztelni, mielőtt az éles (és tartalék) rendszerekben alkalmaznák azokat.
