Bejelentés dátuma: 2022.08.01.
Gyártó: Belden-Hirschmann
Érintett rendszer(ek):
- Eagle EagleSDV 05.4.01-es verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Denial of Service (n/a)/n/a;
Javítás: Elérhető;
Link a publikációhoz: Belden-Hirschmann
Bejelentés dátuma: 2022.08.01.
Gyártó: Belden-Hirschmann
Érintett rendszer(ek):
- HiLCOS OpenBAT, WLC, BAT450 minden, 9.1x és korábbi verziója, valamint a 10.12-REL, 10.12-RU1, 10.12-RU2, 10.12-RU3, 10.12-RU4 és 10.12-RU5 verziói;
- BAT-C2 08.08.01.00R08 és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- CVE-2020-24586/alacsony;
- CVE-2020-24587/alacsony;
- CVE-2020-24588/alacsony;
- CVE-2020-26142/közepes;
- CVE-2020-26144/közepes;
- CVE-2020-26145/közepes;
- CVE-2020-26146/közepes;
- CVE-2020-26147/közepes;
Javítás: Elérhető;
Link a publikációhoz: Belden-Hirschmann
Bejelentés dátuma: 2022.08.04.
Gyártó: Digi International
Érintett rendszer(ek):
- Digi ConnectPort X2D Gateway minden, 2020. január előtt készült firmware-verziókkal működő példányai;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Execution with Unnecessary Privileges (CVE-2022-2634)/kritikus;
Javítás: Részletes információkért a gyártót kell megkeresni.
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-22-216-01
Bejelentés dátuma: 2022.08.09.
Gyártó: Emerson
Érintett rendszer(ek):
- ControlWave programozható vezérlők minden verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Insufficient Verification of Data Authenticity (CVE-2022-30262)/kritikus;
Javítás: Nincs információ
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-22-221-02
Bejelentés dátuma: 2022.08.09.
Gyártó: Emerson
Érintett rendszer(ek):
- OpenBSI 5.9 SP3-as és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Use of Broken or Risky Cryptographic Algorithm (CVE-2022-29959)/kritikus;
- Use of Hard-coded Cryptographic Key (CVE-2022-29960)/súlyos;
Javítás: Nincs információ
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-22-221-03
Bejelentés dátuma: 2022.08.09.
Gyártó: Mitsubishi Electric
Érintett rendszer(ek):
- GT SoftGOT2000 1.275M verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Infinite Loop (CVE-2022-0778)/súlyos;
- OS Command Injection (CVE-2022-1292)/kritikus;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-22-221-01
Bejelentés dátuma: 2022.08.09.
Gyártó: Schneider Electric
Érintett rendszer(ek):
- EcoStruxure™ Control Expert (beleértve az összes, Unity Pro - korábbi nevén EcoStruxure™ Control Expert - verziót is) V15.0 SP1 és korábbi verziói;
- EcoStruxure™ Process Expert (beleértve az összes, EcoStruxure™ Hybrid DCS - korábbi nevén EcoStruxure™ Process Expert - verziót is) V2021-es és korábbi verziói;
- Modicon M340 CPU V3.40-es és korábbi verziói;
- Modicon M580 CPU V3.22-es és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Weak Password Recovery Mechanism for Forgotten Password (CVE-2022-37300)/kritikus;
Javítás: Elérthető
Link a publikációhoz: Schneider Electric
Bejelentés dátuma: 2022.08.09.
Gyártó: Schneider Electric
Érintett rendszer(ek):
- Modicon M340 CPU V3.40 és korábbi verziói;
- Modicon M580 CPU V3.22 és korábbi verziói;
- Legacy Modicon Quantum/Premium minden verziója;
- Modicon Momentum MDI (171CBU*) minden verziója;
- Modicon MC80 (BMKC80) minden verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Integer Underflow (Wrap or Wraparound) (CVE-2022-37301)/súlyos;
Javítás: Elérhető
Link a publikációhoz: Schneider Electric
Bejelentés dátuma: 2022.08.09.
Gyártó: Schneider Electric
Érintett rendszer(ek):
- EcoStruxure™ Control Expert V15.1 HF001 és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Improper Restriction of Operations within the Bounds of a Memory Buffer (CVE-2022-37302)/közepes;
Javítás: Elérhető
Link a publikációhoz: Schneider Electric
Bejelentés dátuma: 2022.08.09.
Gyártó: Schneider Electric
Érintett rendszer(ek):
- Modicon M340 CPU V3.30 és korábbi verziói;
- Modicon M580 CPU V3.22 és korábbi verziói;
- Modicon MC80 (BMKC80) V1.6 és korábbi verziói;
- Modicon Momentum MDI (171CBU*) V2.3 és korábbi verziói;
- Legacy Modicon Quantum minden verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Information Exposure (CVE-2021-22786)/súlyos;
Javítás: Elérhető
Link a publikációhoz: Schneider Electric
Bejelentés dátuma: 2022.08.11.
Gyártó: Siemens
Érintett rendszer(ek):
- SICAM TOOLBOX II minden verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Use of Hard-coded Credentials (CVE-2021-45106)/kritikus;
Javítás: Elérhető
Link a publikációhoz: Siemens ProductCERT, ICS-CERT
Bejelentés dátuma: 2022.08.11.
Gyártó: Siemens
Érintett rendszer(ek):
- SCALANCE M-800 / S615 minden verziója;
- SCALANCE SC-600 termékcsalád minden verziója; prior to V2.3.1
- SCALANCE W-700 IEEE 802.11ax termékcsalád minden verziója;
- SCALANCE W-700 IEEE 802.11n termékcsalád minden verziója;
- SCALANCE W-1700 IEEE 802.11ac termékcsalád minden verziója;
- SCALANCE XB-200 Switch termékcsalád minden verziója;
- SCALANCE XC-200 Switch termékcsalád minden verziója;
- SCALANCE XF-200BA Switch termékcsalád minden verziója;
- SCALANCE XM-400 termékcsalád minden verziója;
- SCALANCE XP-200 Switch termékcsalád minden verziója;
- SCALANCE XR-300WG Switch termékcsalád minden verziója;
- SCALANCE XR-500 termékcsalád minden verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Injection (CVE-2022-36323)/kritikus;
- Allocation of Resources Without Limits or Throttling (CVE-2022-36324)/súlyos;
- Basic Cross Site Scripting (CVE-2022-36325)/közepes;
Javítás: Részben elérhető
Link a publikációhoz: Siemens ProductCERT, ICS-CERT
Bejelentés dátuma: 2022.08.11.
Gyártó: Siemens
Érintett rendszer(ek):
- SICAM A8000 Web Server Module CP-8000 MASTER MODULE WITH I/O -25/+70°C (6MF2101-0AB10-0AA0) minden verziója;
- SICAM A8000 Web Server Module CP-8000 MASTER MODULE WITH I/O -40/+70°C (6MF2101-1AB10-0AA0) minden verziója;
- SICAM A8000 Web Server Module CP-8021 MASTER MODULE (6MF2802-1AA00) minden verziója;
- SICAM A8000 Web Server Module CP-8022 MASTER MODULE WITH GPRS (6MF2802-2AA00) minden verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Improper Access Control (CVE-2021-46304)/közepes;
Javítás: Jelenleg nem elérhető
Link a publikációhoz: Siemens ProductCERT, ICS-CERT
Bejelentés dátuma: 2022.08.11.
Gyártó: Siemens
Érintett rendszer(ek):
- Teamcenter v12.4 minden, v12.4.0.15-nél korábbi verziója;
- Teamcenter v13.0 minden, v13.0.0.10-nél korábbi verziója;
- Teamcenter v13.1 minden, v13.1.0.10-nél korábbi verziója;
- Teamcenter v13.2 minden, v13.2.0.9-nél korábbi verziója;
- Teamcenter v13.3 minden, v13.3.0.5-nél korábbi verziója;
- Teamcenter v14.0 minden, v14.0.0.2-nél korábbi verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Command Injection (CVE-2022-34660)/súlyos;
- Infinite Loop (CVE-2022-34661)/súlyos;
Javítás: Nincs, a gyártó kockázatcsökkentő intézkedések alkalmazását javasolja.
Link a publikációhoz: Siemens ProductCERT, ICS-CERT
Bejelentés dátuma: 2022.08.11.
Gyártó: Siemens
Érintett rendszer(ek):
- Simcenter STAR-CCM+ minden verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Exposure of Sensitive Information to an Unauthorized Actor (CVE-2022-34659)/közepes;
Javítás: Nincs, a gyártó kockázatcsökkentő intézkedések alkalmazását javasolja.
Link a publikációhoz: Siemens ProductCERT, ICS-CERT
Bejelentés dátuma: 2022.08.11.
Gyártó: Emerson
Érintett rendszer(ek):
- ROC800 minden verziója;
- ROC800L minden verziója;
- DL8000 minden verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Insufficient Verification of Data Authenticity (CVE-2022-30264)/közepes;
Javítás: Nincs, a gyártó kockázatcsökkentő intézkedések alkalmazását javasolja.
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-22-223-04
A fenti sérülékenységekkel kapcsolatban az ICS-CERT az alábbi kockázatcsökkentő intézkedések fontosságát hangsúlyozza:
- Minimálisra kell csökkenteni az ipari/egészségügyi rendszerek/hálózatok kapcsolatát az Internettel, az ilyen eszközök közvetlen Internetre történő csatlakoztatását kerülni kell;
- Az ipari/egészségügyi rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari/egészségügyi rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak;
- Amikor csak lehetséges el kell távolítani, le kell tiltani vagy meg kell változtatni az alapértelmezett felhasználói fiókok nevét és jelszavát;
- A nyers erőn (brute force) alapuló jelszótörések elleni védekezés jegyében felhasználói fiók-kizárási szabályokat célszerű alkalmazni;
- Erős jelszavak alkalmazását kikényszerítő szabályokat kell alkalmazni;
- Harmadik féltől származó alkalmazással célszerű monitorozni az adminisztrátori szintű jogosultságok kiadását;
- Az alapértelmezett beállításokat, amennyiben lehetséges, meg kell változtatni;
- A futó szolgáltatások hardening-jét célszerű elvégezni (csak azok a szolgáltatások fussanak, amik nélkülözhetetlenek);
- Biztonságos felhasználókezelési és hozzáférési szabályokat kell életbe léptetni;
- A megbízhatónak tartott firmware és szoftver-verziókból célszerű (valamilyen szinten tűzálló páncélszekrényben) elzárt fizikai példányokkal rendelkezni (lehetőleg egyszer írható adathordozón, pl. CD/DVD, stb.);
- Ismerni kell a normális működéshez tartozó hálózati forgalmat;
- Ki kell alakítani a biztonsági naplózás és naplóelemzés képességét és ezekre építve a megfelelő riasztási eljárásokat;
- Az új beállításokat labor körülmények között célszerű tesztelni, mielőtt az éles (és tartalék) rendszerekben alkalmaznák azokat.
