Bejelentés dátuma: 2021.12.07.
Gyártó: Hitachi Energy
Érintett rendszer(ek):
- RTU500 sorozatú CMU eszközök 12.4.X firmware-verziói;
- RTU500 sorozatú CMU eszközök 12.6.X firmware-verziói;
- RTU500 sorozatú CMU eszközök 12.7.X firmware-verziói;
- RTU500 sorozatú CMU eszközök 13.0.X firmware-verziói;
- RTU500 sorozatú CMU eszközök 13.1.X firmware-verziói;
- RTU500 sorozatú CMU eszközök 13.2.1 firmware-verzió;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Type Confusion/súlyos
- Reachable Assertion/súlyos
Javítás: Elérhető (a 12.4.X firmware-verziók javítása 2022. januárban fog megjelennni)
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-21-341-01

Bejelentés dátuma: 2021.12.07.
Gyártó: Hitachi Energy
Érintett rendszer(ek):
- XMC20 minden, R15A-nál korábbi verziója;
- FOX61x minden, R15A-nál korábbi verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Weak Password Requirements/kritikus
- Missing Handler/súlyos
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-21-341-02

Bejelentés dátuma: 2021.12.07.
Gyártó: FANUC
Érintett rendszer(ek):
- R-30iA, R-30iA Mate; v7: v7.20, v7.30, v7.40, v7.43, v7.50, v.7.63, v7.70;
- R-30iB, R-30iB Mate, R-30iB Compact; v8: v8.10, v8.13, v8.20, v8.23, v8.26, v8.30, v8.33, v8.36;
- R-30iB Plus, R-30iB Mate Plus, R-30iB Compact Plus, R-30iB Mini Plus; v9: v9.10, v9.13, v9.16, v9.30, v9.36, v9.40;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Integer Coercion Error/súlyos
- Out-of-bounds Write/súlyos
Javítás: Nincs információ
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-21-243-02

Bejelentés dátuma: 2021.12.09.
Gyártó: Hillrom
Érintett rendszer(ek):
- Welch Allyn Q-Stress Cardiac Stress Testing System 6.0.0-tól 6.3.1-ig terjedő verziói;
- Welch Allyn X-Scribe Cardiac Stress Testing System 5.01-tól 6.3.1-ig terjedő verziói;
- Welch Allyn Diagnostic Cardiology Suite 2.1.0 verziója;
- Welch Allyn Vision Express 6.1.0-tól 6.4.0-ig terjedő verziói;
- Welch Allyn H-Scribe Holter Analysis System 5.01-tól 6.4.0-ig terjedő verziói;
- Welch Allyn R-Scribe Resting ECG System 5.01-tól 7.0.0-ig terjedő verziói;
- Welch Allyn Connex Cardio 1.0.0-tól 1.1.1-ig terjedő verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Authentication Bypass Using an Alternate Path or Channel/súlyos
Javítás: A gyártó jelenleg is dolgozik a javított verziókon.
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsma-21-343-01

Bejelentés dátuma: 2021.12.09.
Gyártó: Hitachi Energy
Érintett rendszer(ek):
- GMS600 1.2.0 verziója;
- GMS600 1.3.0 verziója;
- GMS600 1.3.1.0 verziója;
- PWC600 1.1.0.0 verziója;
- PWC600 1.1.0.1 verziója;
- PWC600 1.0.1.0 verziója;
- PWC600 1.0.1.1 verziója;
- PWC600 1.0.1.3 verziója;
- PWC600 1.0.1.4 verziója;
- Relion 670/650 sorozatú eszközök 2.2.0 összes revíziója;
- Relion 670/650/SAM600-IO sorozatú eszközök 2.2.1 összes revíziója;
- Relion 670 sorozatú eszközök 2.2.2 összes revíziója;
- Relion 670 sorozatú eszközök 2.2.3 összes revíziója a 2.2.3.4-ig terjedően;
- Relion 670/650 sorozatú eszközök 2.2.4 összes revíziója;
- Relion 670/650/SAM600-IO sorozatú eszközök 2.2.5 összes revíziója a 2.2.5.1-ig terjedően;
- Relion 670/650 sorozatú eszközök 2.1 összes revíziója;
- Relion 670 sorozatú eszközök 2.0 összes revíziója;
- Relion 650 sorozatú eszközök 1.3 összes revíziója;
- Relion 650 sorozatú eszközök 1.2 összes revíziója;
- Relion 650 sorozatú eszközök 1.1 összes revíziója;
- Relion 650 sorozatú eszközök 1.0 összes revíziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Improper Access Controls/súlyos
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-21-343-01

Bejelentés dátuma: 2021.12.09.
Gyártó: WECON
Érintett rendszer(ek): LeviStudioU (HMI programozáshoz használt szoftver) 2019-09-21-es és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Stack-based Buffer Overflow/súlyos
Javítás: Nincs információ
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-21-343-02

Továbbá nagyon úgy tűnik, hogy a múlt hét pénteken nyilvánosságra került (és az elmúlt napokban sok kollégát minden másnál jobban foglalkoztató) Log4j sérülékénység az OT rendszereket sem hagyja érintetlenül, erről a Dragos publikációjában írnak részletesebben.

A fenti sérülékenységekkel kapcsolatban az ICS-CERT az alábbi kockázatcsökkentő intézkedések fontosságát hangsúlyozza:

- Minimálisra kell csökkenteni az ipari/egészségügyi rendszerek/hálózatok kapcsolatát az Internettel, az ilyen eszközök közvetlen Internetre történő csatlakoztatását kerülni kell;
- Az ipari/egészségügyi rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari/egészségügyi rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak;
- Amikor csak lehetséges el kell távolítani, le kell tiltani vagy meg kell változtatni az alapértelmezett felhasználói fiókok nevét és jelszavát;
- A nyers erőn (brute force) alapuló jelszótörések elleni védekezés jegyében felhasználói fiók-kizárási szabályokat célszerű alkalmazni;
- Erős jelszavak alkalmazását kikényszerítő szabályokat kell alkalmazni;
- Harmadik féltől származó alkalmazással célszerű monitorozni az adminisztrátori szintű jogosultságok kiadását;
- Az alapértelmezett beállításokat, amennyiben lehetséges, meg kell változtatni;
- A futó szolgáltatások hardening-jét célszerű elvégezni (csak azok a szolgáltatások fussanak, amik nélkülözhetetlenek);
- Biztonságos felhasználókezelési és hozzáférési szabályokat kell életbe léptetni;
- A megbízhatónak tartott firmware és szoftver-verziókból célszerű (valamilyen szinten tűzálló páncélszekrényben) elzárt fizikai példányokkal rendelkezni (lehetőleg egyszer írható adathordozón, pl. CD/DVD, stb.);
- Ismerni kell a normális működéshez tartozó hálózati forgalmat;
- Ki kell alakítani a biztonsági naplózás és naplóelemzés képességét és ezekre építve a megfelelő riasztási eljárásokat;
- Az új beállításokat labor körülmények között célszerű tesztelni, mielőtt az éles (és tartalék) rendszerekben alkalmaznák azokat.