Bejelentés dátuma: 2021.11.09.
Gyártó: Siemens
Érintett rendszer(ek): SIMATIC RTLS Locating Manager minden, V2.12-nél korábbi verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Insertion of Sensitive Information into Log File/közepes
- Cleartext Storage of Sensitive Information/közepes
- Improper Input Validation/közepes
Javítás: Elérhető
Link a publikációhoz: https://cert-portal.siemens.com/productcert/pdf/ssa-145157.pdf
Bejelentés dátuma: 2021.11.09.
Gyártó: Siemens
Érintett rendszer(ek):
- PSS(R)CAPE 14 telepítések, amiket 2021.10.05-nél korábbi telepítőkből installáltak;
- PSS(R)E V34 minden, V34.9.1-nél korábbi verziója;
- PSS(R)E V35 minden, V35.3.2-nél korábbi verziója;
- PSS(R)ODMS V12 minden, V12.2.6.1-nél korábbi verziója;
- SICAM 230 minden verziója;
- SIMATIC Information Server V2019 SP1-es és korábbi verziói;
- SIMATIC PCS neo minden verziója;
- SIMATIC Process Historian (beleértve a Process Historian OPC UA Server-t is) V2019 SP1-es és korábbi verziói;
- SIMATIC WinCC OA V3.17 minden verziója;
- SIMATIC WinCC OA V3.18 minden verziója;
- SIMIT Simulation Platform V10.0 és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Improper Privilege Management/súlyos
Javítás: Egyes érintett termékekhez elérhetőek javítások
Link a publikációhoz: https://cert-portal.siemens.com/productcert/pdf/ssa-580693.pdf
Bejelentés dátuma: 2021.11.09.
Gyártó: Siemens
Érintett rendszer(ek): NX 1980 sorozat V1984-nél korábbi verziói
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Out-of-bounds Read (CVE-2021-41533)/alacsony
- Out-of-bounds Read (CVE-2021-41534)/alacsony
Javítás: Elérhető
Link a publikációhoz: https://cert-portal.siemens.com/productcert/pdf/ssa-740908.pdf
Bejelentés dátuma: 2021.11.09.
Gyártó: Siemens
Érintett rendszer(ek):
- Siveillance Video DLNA Server 2019 R1;
- Siveillance Video DLNA Server 2019 R2
- Siveillance Video DLNA Server 2019 R3
- Siveillance Video DLNA Server 2020 R1
- Siveillance Video DLNA Server 2020 R2
- Siveillance Video DLNA Server 2020 R3
- Siveillance Video DLNA Server 2021 R1
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Path Traversal/súlyos
Javítás: Elérhető
Link a publikációhoz: https://cert-portal.siemens.com/productcert/pdf/ssa-755517.pdf
Bejelentés dátuma: 2021.11.16.
Gyártó: FATEK Automation
Érintett rendszer(ek): WinProladder 3.30_24518-as és korábbi verziói
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Out-of-bounds Write/súlyos
- Stack-based Buffer Overflow/súlyos
Javítás: Nincs információ javításról
Link a publikációhoz: https://us-cert.cisa.gov/ics/advisories/icsa-21-320-01
Bejelentés dátuma: 2021.11.16.
Gyártó: Mitsubishi Electric
Érintett rendszer(ek):
- GOT2000 sorozat
- GT27 modelljének minden verziója;
- GT25 modelljének minden verziója;
- GT23 modelljének minden verziója;
- GT21 modelljének minden verziója;
- GOT SIMPLE sorozat
- GS21 modelljének minden verziója;
- GT SoftGOT2000 minden verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Improper Input Validation/súlyos
Javítás: Nincs, a gyártó kockázatcsökkentő intézkedések alkalmazását javasolja
Link a publikációhoz: https://us-cert.cisa.gov/ics/advisories/icsa-21-320-02
Bejelentés dátuma: 2021.11.18.
Gyártó: Philips
Érintett rendszer(ek):
- IntelliBridge EC 40 Hub C.00.04-es és korábbi verziói;
- IntelliBridge EC 80 Hub C.00.04-es és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Use of Hard-coded Credentials/súlyos
- Authentication Bypass Using an Alternate Path or Channel/súlyos
Javítás: A gyártó a javítást várhatóan 2021 végén fogja publikálni.
Link a publikációhoz: https://us-cert.cisa.gov/ics/advisories/icsma-21-322-01
Bejelentés dátuma: 2021.11.18.
Gyártó: Philips
Érintett rendszer(ek):
- Patient Information Center iX (PIC iX) B.02-es, C.02-es és C.03-as verziói;
- Efficia CM sorozat A.01-től C.0x-ig terjedő és 4.0 revíziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Improper Input Validation/közepes
- Use of Hard-coded Cryptographic Key/közepes
- Use of a Broken or Risky Cryptographic Algorithm/közepes
Javítás: Az Improper Input Validation sérülékenység javítása már elérhető, a másik két sérülékenységhez a gyártó a javítást 2022 végére ígéri.
Link a publikációhoz: https://us-cert.cisa.gov/ics/advisories/icsma-21-322-02
A fenti sérülékenységek negatív hatásainak csökkentése érdekében az ICS-CERT az alábbi kockázatcsökkentő intézkedések bevezetését javasolja:
- Minimálisra kell csökkenteni az ipari/egészségügyi rendszerek/hálózatok kapcsolatát az Internettel, az ilyen eszközök közvetlen Internetre történő csatlakoztatását kerülni kell;
- Az ipari/egészségügyi rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari/egészségügyi rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak;
- Amikor csak lehetséges el kell távolítani, le kell tiltani vagy meg kell változtatni az alapértelmezett felhasználói fiókok nevét és jelszavát;
- A nyers erőn (brute force) alapuló jelszótörések elleni védekezés jegyében felhasználói fiók-kizárási szabályokat célszerű alkalmazni;
- Erős jelszavak alkalmazását kikényszerítő szabályokat kell alkalmazni;
- Harmadik féltől származó alkalmazással célszerű monitorozni az adminisztrátori szintű jogosultságok kiadását;
- Az alapértelmezett beállításokat, amennyiben lehetséges, meg kell változtatni;
- A futó szolgáltatások hardening-jét célszerű elvégezni (csak azok a szolgáltatások fussanak, amik nélkülözhetetlenek);
- Biztonságos felhasználókezelési és hozzáférési szabályokat kell életbe léptetni;
- A megbízhatónak tartott firmware és szoftver-verziókból célszerű (valamilyen szinten tűzálló páncélszekrényben) elzárt fizikai példányokkal rendelkezni (lehetőleg egyszer írható adathordozón, pl. CD/DVD, stb.);
- Ismerni kell a normális működéshez tartozó hálózati forgalmat;
- Ki kell alakítani a biztonsági naplózás és naplóelemzés képességét és ezekre építve a megfelelő riasztási eljárásokat;
- Az új beállításokat labor körülmények között célszerű tesztelni, mielőtt az éles (és tartalék) rendszerekben alkalmaznák azokat.
