Sérülékenységek Honeywell vezérlőkben
Rei Henigman és Nadav Erez, a Claroty munkatársai 3 sérülékenységet azonosítottak a Honeywell Experion PKS folyamatvezérlő termékcsaládjának alábbi tagjaiban:
- C200-as vezérlők minden verziója;
- C200E típusú vezérlők minden verziója;
- C300-as és ACE vezérlők minden verziója.
A hibával kapcsolatban a gyártói dokumentáció és az ICS-CERT publikációja tartalmaz további részleteket.
Emerson WirelessHART Gateway sérülékenységek
Amir Preminger, a Claroty munkatársa 6 sérülékenységet fedezett fel az Emerson WirelessHART Gateway nevű hálózati eszközeinek alábbi változataiban:
- WirelessHART 1410 Gatewayminden, v4.7.94-nél korábbi verziója;
- WirelessHART 1410D Gatewayminden, v4.7.94-nél korábbi verziója;
- WirelessHART 1420 Gatewayminden, v4.7.94-nél korábbi verziója.
A gyártó a hibával kapcsolatban a v4.7.105-ös verzióra történő frissítést javasolja. A sérülékenységek részleteit az ICS-CERT bejelentésében lehet megtalálni: https://us-cert.cisa.gov/ics/advisories/icsa-21-278-02
Sérülékenységek Mitsubishi Electric vezérlőkben
A Mitsubishi Electric 4 sérülékenységről közölt információkat a DHS CISA-val, amik az alábbi termékeiket érintik:
- GOT2000 sorozat GT21-es modelljének
- GT2107-WTBD változat minden verziója;
- GT2107-WTSD változat minden verziója;
- GT2104-RTBD változat minden verziója;
- GT2104-PMBD változat minden verziója;
- GT2103-PMBD változat minden verziója;
- GOT SIMPLE sorozat GS21-es modelljének
- GS2110-WTBD változat minden verziója;
- GS2107-WTBD változat minden verziója;
- GS2110-WTBD-N változat minden verziója;
- GS2107-WTBD-N változat minden verziója;
- Tension vezérlők
- LE7-40GU-L változat minden verziója.
A gyártó jelenleg is dolgozik a hibákat javító új verziókon. A sérülékenységek részleteiről az ICS-CERT weboldalán lehet olvasni: https://us-cert.cisa.gov/ics/advisories/icsa-21-278-01
FATEK Automation Communication Server sérülékenység
Natnael Samson, a ZDI-vel együttműködve egy sérülékenységet jelentett a DHS CISA-nak, amit a FATEK Automation Communication Server 1.13-as és korábbi verzióiban fedezett fel.
A gyártó mostanáig nem reagált a sérülékenységgel kapcsolatos megkeresésekre. További részletek az ICS-CERT publikációjában érhetőek el: https://us-cert.cisa.gov/ics/advisories/icsa-21-280-07
Sérülékenységek FATEK Automation WinProladder szoftverekben
xina1i és Natnael Samson, a ZDI-vel közösen 7 sérülékenységről közöltek információkat a DHS CISA-val, amiket a FATEK Automation WinProladder 3.30-as és korábbi verzióiban találtak.
A gyártó mindezidáig nem válaszolt a hibákkal kapcsolatos megkeresésekre. A sérülékenységekről bővebb információkat az ICS-CERT bejelentése tartalmaz: https://us-cert.cisa.gov/ics/advisories/icsa-21-280-06
InHand Networks hálózati eszközök sérülékenységei
Haviv Vaizman, Hay Mizrachi, Alik Koldobsky, Ofir Manzur és Nikolay Sokolik, az OTORIO munkatársai 13 sérülékenységet azonosítottak az InHand Networks IR615 típusú routereinek 2.3.0.r4724-es és 2.3.0.r4870-es verzióiban.
Az InHand Networks a mai napig nem válaszolt a hibákkal kapcsolatos megkeresésekre. A sérülékenységek részleteiről az ICS-CERT weboldalán lehet tájékozódni: https://us-cert.cisa.gov/ics/advisories/icsa-21-280-05
Mitsubishi Electric vezérlők sérülékenysége
A Mitsubishi Electric egy sérülékenységről tájékoztatta a DHS CISA-t, ami a MELSEC iQ-R C-sorozatú vezérlő moduljai közül az R12CCPU-V változatok minden verzióját érinti.
A gyártó a hibával kapcsolatban kockázatcsökkentő intézkedések alkalmazását javasolja. A sérülékenységgel kapcsolatos további információkat az ICS-CERT publikációjában lehet megtalálni: https://us-cert.cisa.gov/ics/advisories/icsa-21-280-04
Sérülékenység Johnson Controls exacqVision rendszerekben
A Tenable Research egy sérülékenység részleteit osztotta meg a Johnson Controls-szal, az Exacq Technologies anyavállalatával, amit az exacqVision Server 32-bites változatának 21.06.11.0 és korábbi verzióiban találtak.
A gyártó a hibával kapcsolatban az exacqVision Server 32-bites változatának 21.09-es verzióra vagy az exacqVision Server 64-bites változatára történő frissítést javasolja. A sérülékenység részletei az ICS-CERT bejelentésében találhatóak: https://us-cert.cisa.gov/ics/advisories/icsa-21-280-03
Mobile Industrial Robots termékek sérülékenységei
Victor Mayoral Vilches, az Alias Robotics munkatársa 10 sérülékenységről tájékoztatta a DHS CISA-t, amit a Mobile Industrial Robots alábbi termékeiben fedezett fel:
- MiR100, MiR200, MiR250, MiR500, MiR1000 a MiR Robot Software 2.10.2.1-nél korábbi verzióiban;
- MiR Fleet a MiR Fleet Software 2.10.2.1-nél korábbi verzióiban.
A MiR Hook és Shelf Carrier termékeket ez a hiba nem érinti.
A gyártó a hibákat az érintett termékek legújabb verziójában javította. A sérülékenységgel kapcsolatos további információk az ICS-CERT weboldalán érhetőek el: https://us-cert.cisa.gov/ics/advisories/icsa-21-280-02
exacqVision Web Service sérülékenység
A Tenable Research egy sérülékenységet jelentett a Johnson Controls-nak, az Exacq Technologies anyavállalatának, amit az exacqVision Web Service 21.06.11.0 és korábbi verzióiban fedeztek fel.
A gyártó a hibát a 21.09-es verzióban javította. A sérülékenység részleteiről az ICS-CERT publikációjából lehet tájékozódni: https://us-cert.cisa.gov/ics/advisories/icsa-21-280-01
Sérülékenység Hikvision kamerarendszerekben
A Watchful_IP oldalán megjelent információk szerint egy távoli kódfuttatásra lehetőséget adó sérülékenységet találtak a Hikvision alábbi kamerarendszereiben:
- DS-2CVxxx1 210625-ösnél korábbi Build verziói;
- DS-2CVxxx6 210625-ösnél korábbi Build verziói;
- HWI-xxxx 210625-ösnél korábbi Build verziói;
- IPC-xxxx 210625-ösnél korábbi Build verziói;
- DS-2CD1xx1 210625-ösnél korábbi Build verziói;
- DS-2CD1x23G0 210625-ösnél korábbi Build verziói;
- DS-2CD1x23G0E(C) 210625-ösnél korábbi Build verziói;
- DS-2CD1x43(B) 210625-ösnél korábbi Build verziói;
- DS-2CD1x43(C) 210625-ösnél korábbi Build verziói;
- DS-2CD1x43G0E 210625-ösnél korábbi Build verziói;
- DS-2CD1x53(B) 210625-ösnél korábbi Build verziói;
- DS-2CD1x53(C) 210625-ösnél korábbi Build verziói;
- DS-2CD1xx7G0 210625-ösnél korábbi Build verziói;
- DS-2CD2xx6G2 210625-ösnél korábbi Build verziói;
- DS-2CD2xx6G2(C) 210625-ösnél korábbi Build verziói;
- DS-2CD2xx7G2 210625-ösnél korábbi Build verziói;
- DS-2CD2xx7G2(C) 210625-ösnél korábbi Build verziói;
- DS-2CD2x21G0 210625-ösnél korábbi Build verziói;
- DS-2CD2x21G0(C) 210625-ösnél korábbi Build verziói;
- DS-2CD2x21G1 210625-ösnél korábbi Build verziói;
- DS-2CD2x21G1(C) 210625-ösnél korábbi Build verziói;
- DS-2CD2xx3G2 210625-ösnél korábbi Build verziói;
- DS-2CD3xx6G2 210625-ösnél korábbi Build verziói;
- DS-2CD3xx6G2(C) 210625-ösnél korábbi Build verziói;
- DS-2CD3xx7G2 210625-ösnél korábbi Build verziói;
- DS-2CD3xx7G2(C) 210625-ösnél korábbi Build verziói;
- DS-2CD3xx7G0E 210625-ösnél korábbi Build verziói;
- DS-2CD3x21G0 210625-ösnél korábbi Build verziói;
- DS-2CD3x21G0(C) 210625-ösnél korábbi Build verziói;
- DS-2CD3x51G0(C) 210625-ösnél korábbi Build verziói;
- DS-2CD3xx3G2 210625-ösnél korábbi Build verziói;
- DS-2CD4xx0 210625-ösnél korábbi Build verziói;
- DS-2CD4xx6 210625-ösnél korábbi Build verziói;
- iDS-2XM6810 210625-ösnél korábbi Build verziói;
- iDS-2CD6810 210625-ösnél korábbi Build verziói;
- DS-2XE62x2F(D) 210625-ösnél korábbi Build verziói;
- DS-2XC66x5G0 210625-ösnél korábbi Build verziói;
- DS-2XE64x2F(B) 210625-ösnél korábbi Build verziói;
- DS-2CD8Cx6G0 210625-ösnél korábbi Build verziói;
- (i)DS-2DExxxx 210625-ösnél korábbi Build verziói;
- (i)DS-2PTxxxx 210625-ösnél korábbi Build verziói;
- (i)DS-2SE7xxxx 210625-ösnél korábbi Build verziói;
- DS-2DYHxxxx 210625-ösnél korábbi Build verziói;
- DS-2DY9xxxx 210625-ösnél korábbi Build verziói;
- PTZ-Nxxxx 210625-ösnél korábbi Build verziói;
- HWP-Nxxxx 210625-ösnél korábbi Build verziói;
- DS-2DF5xxxx 210625-ösnél korábbi Build verziói;
- DS-2DF6xxxx 210625-ösnél korábbi Build verziói;
- DS-2DF6xxxx-Cx 210625-ösnél korábbi Build verziói;
- DS-2DF7xxxx 210625-ösnél korábbi Build verziói;
- DS-2DF8xxxx 210625-ösnél korábbi Build verziói;
- DS-2DF9xxxx 210625-ösnél korábbi Build verziói;
- iDS-2PT9xxxx 210625-ösnél korábbi Build verziói;
- iDS-2SK7xxxx 210625-ösnél korábbi Build verziói;
- iDS-2SK8xxxx 210625-ösnél korábbi Build verziói;
- iDS-2SR8xxxx 210625-ösnél korábbi Build verziói;
- iDS-2VSxxxx 210625-ösnél korábbi Build verziói;
- DS-2TBxxx 210702-esnél korábbi Build verziói;
- DS-Bxxxx 210702-esnél korábbi Build verziói;
- DS-2TDxxxxB 210702-esnél korábbi Build verziói;
- DS-2TD1xxx-xx 210702-esnél korábbi Build verziói;
- DS-2TD2xxx-xx 210702-esnél korábbi Build verziói;
- DS-2TD41xx-xx/Wx 210702-esnél korábbi Build verziói;
- DS-2TD62xx-xx/Wx 210702-esnél korábbi Build verziói;
- DS-2TD81xx-xx/Wx 210702-esnél korábbi Build verziói;
- DS-2TD4xxx-xx/V2 210702-esnél korábbi Build verziói;
- DS-2TD62xx-xx/V2 210702-esnél korábbi Build verziói;
- DS-2TD81xx-xx/V2 210702-esnél korábbi Build verziói;
- DS-76xxNI-K1xx(C) V4.30.210 Build201224 és V4.31.000 Build210511 közötti verziói;
- DS-76xxNI-Qxx(C) V4.30.210 Build201224 és V4.31.000 Build210511 közötti verziói;
- DS-HiLookI-NVR-1xxMHxx-C(C) V4.30.210 Build201224 és V4.31.000 Build210511 közötti verziói;
- DS-HiLookI-NVR-2xxMHxx-C(C) V4.30.210 Build201224 és V4.31.000 Build210511 közötti verziói;
- DS-HiWatchI-HWN-41xxMHxx(C) V4.30.210 Build201224 és V4.31.000 Build210511 közötti verziói;
- DS-HiWatchI-HWN-42xxMHxx(C) V4.30.210 Build201224 és V4.31.000 Build210511 közötti verziói;
- DS-71xxNI-Q1xx(C) V4.30.300 Build210221 és V4.31.100 Build210511 közötti verziói;
- DS-HiLookI-NVR-1xxMHxx-D(C) V4.30.300 Build210221 és V4.31.100 Build210511 közötti verziói;
- DS-HiLookI-NVR-1xxHxx-D(C) V4.30.300 Build210221 és V4.31.100 Build210511 közötti verziói;
- DS-HiWatchI-HWN-21xxMHxx(C) V4.30.300 Build210221 és V4.31.100 Build210511 közötti verziói;
- DS-HiWatchI-HWN-21xxHxx(C) V4.30.300 Build210221 és V4.31.100 Build210511 közötti verziói;
A hibát javító firmware-verziókat a gyártó már elérhetővé tette. A sérülékenység részleteit a Hikvision és a Watchful_IP weboldalain lehet megtalálni.
A sérülékenységek negatív hatásainak csökkentése érdekében az ICS-CERT az alábbi kockázatcsökkentő intézkedések bevezetését javasolja:
- Minimálisra kell csökkenteni az ipari/egészségügyi rendszerek/hálózatok kapcsolatát az Internettel, az ilyen eszközök közvetlen Internetre történő csatlakoztatását kerülni kell;
- Az ipari/egészségügyi rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari/egészségügyi rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak;
- Amikor csak lehetséges el kell távolítani, le kell tiltani vagy meg kell változtatni az alapértelmezett felhasználói fiókok nevét és jelszavát;
- A nyers erőn (brute force) alapuló jelszótörések elleni védekezés jegyében felhasználói fiók-kizárási szabályokat célszerű alkalmazni;
- Erős jelszavak alkalmazását kikényszerítő szabályokat kell alkalmazni;
- Harmadik féltől származó alkalmazással célszerű monitorozni az adminisztrátori szintű jogosultságok kiadását;
- Az alapértelmezett beállításokat, amennyiben lehetséges, meg kell változtatni;
- A futó szolgáltatások hardening-jét célszerű elvégezni (csak azok a szolgáltatások fussanak, amik nélkülözhetetlenek);
- Biztonságos felhasználókezelési és hozzáférési szabályokat kell életbe léptetni;
- A megbízhatónak tartott firmware és szoftver-verziókból célszerű (valamilyen szinten tűzálló páncélszekrényben) elzárt fizikai példányokkal rendelkezni (lehetőleg egyszer írható adathordozón, pl. CD/DVD, stb.);
- Ismerni kell a normális működéshez tartozó hálózati forgalmat;
- Ki kell alakítani a biztonsági naplózás és naplóelemzés képességét és ezekre építve a megfelelő riasztási eljárásokat;
- Az új beállításokat labor körülmények között célszerű tesztelni, mielőtt az éles (és tartalék) rendszerekben alkalmaznák azokat.
