Bejelentés dátuma: 2023.03.14.
Gyártó: Schneider Electric
Érintett rendszer(ek):
- IGSS Data Server (IGSSdataServer.exe) V16.0.0.23040-es és korábbi verziói;
- IGSS Dashboard (DashBoard.exe) V16.0.0.23040-es és korábbi verziói;
- Custom Reports (RMS16.dll) V16.0.0.23040-es és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Missing Authentication for Critical Function (CVE-2023-27980)/súlyos;
- Insufficient Verification of Data Authenticity (CVE-2023-27982)/súlyos;
- Deserialization of Untrusted Data (CVE-2023-27978)/súlyos;
- Improper Limitation of a Pathname to a Restricted Directory (CVE-2023-27981)/súlyos;
- Improper Input Validation (CVE-2023-27984)/súlyos;
- Insufficient Verification of Data Authenticity (CVE-2023-27977)/közepes;
- Insufficient Verification of Data Authenticity (CVE-2023-27979)/közepes;
- Missing Authentication for Critical Function (CVE-2023-27983)/közepes;
Javítás: Elérhető
Link a publikációhoz: Schneider Electric, ICS-CERT
Bejelentés dátuma: 2023.03.14.
Gyártó: Schneider Electric
Érintett rendszer(ek):
- EcoStruxure™ Power Monitoring Expert PME 2022-es és korábbi veriói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Insufficient Session Expiration (CVE-2023-28003)/közepes;
Javítás: Elérhető
Link a publikációhoz: Schneider Electric
Bejelentés dátuma: 2023.03.14.
Gyártó: Schneider Electric
Érintett rendszer(ek):
- PowerLogic™ HDPM6000 0.58.6-os és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Improper validation of an array index (CVE-2023-28004)/kritikus;
Javítás: Elérhető
Link a publikációhoz: Schneider Electric
Bejelentés dátuma: 2023.03.14.
Gyártó: Moxa
Érintett rendszer(ek):
- NPort 6000-es sorozatú eszközök 2.2-es és korábbi firmware-verziói;
- Windows Driver Manager sorozat (Windows 7-től Windows 10-ig és Windows Server 2008 R2-től 2019-ig terjedő verzióival használható) 3.4-es és korábbi verziói;
- Windows Driver Manager sorozat (Windows 11 és Server 2022 és későbbi verziókhoz használható) 4.0-s és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Improper Certificate Validation (CVE-2022-43993)/n/a;
- Improper Certificate Validation (CVE-2022-43994)/n/a;
Javítás: Elérhető
Link a publikációhoz: Moxa
Bejelentés dátuma: 2023.03.21.
Gyártó: Keysight Technologies
Érintett rendszer(ek):
- N6854A Geolocation Server 2.4.2-es és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Deserialization of Untrusted Data (CVE-2023-1399)/súlyos;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-23-080-01
Bejelentés dátuma: 2023.03.23.
Gyártó: RoboDK
Érintett rendszer(ek):
- RoboDK programozási és monitoring szoftver v5.5.3-as és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Incorrect Permission Assignment for Critical Resource (CVE-2023-1516)/súlyos;
Javítás: Nincs információ.
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-23-082-01
Bejelentés dátuma: 2023.03.23.
Gyártó: ProPump and Controls
Érintett rendszer(ek):
- Osprey Pump Controller 1.01-es verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Insufficient Entropy (CVE-2023-28395)/súlyos;
- Use of GET Request Method with Sensitive Query Strings (CVE-2023-28375)/súlyos;
- Use of Hard-coded Password (CVE-2023-28654)/kritikus;
- OS Command Injection (CVE-2023-27886)/kritikus;
- OS Command Injection (CVE-2023-27394)/kritikus;
- Cross-site Scripting (CVE-2023-28648)/súlyos;
- Authentication Bypass using an Alternate Path or Channel (CVE-2023-28398)/kritikus;
- Cross-Site Request Forgery (CVE-2023-28718)/súlyos;
- Command Injection (CVE-2023-28712)/súlyos;
Javítás: Nincs információ.
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-23-082-06
Bejelentés dátuma: 2023.03.23.
Gyártó: ABB
Érintett rendszer(ek):
- ABB Infinity DC Power Plant – H5692448 G104 G842 G224L G630-4 G451C(2) G461(2) – comcode 150047415;
- ABB Pulsar Plus System Controller – NE843_S – comcode 150042936;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Cross-Site Request Forgery (CVE-2022-1607)/közepes;
- Use of Insufficiently Random Values (CVE-2022-26080)/közepes;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-23-082-05
A fenti sérülékenységek negatív hatásainak csökkentése érdekében az ICS-CERT az alábbi kockázatcsökkentő intézkedések bevezetését javasolja:
- Minimálisra kell csökkenteni az ipari/egészségügyi rendszerek/hálózatok kapcsolatát az Internettel, az ilyen eszközök közvetlen Internetre történő csatlakoztatását kerülni kell;
- Az ipari/egészségügyi rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari/egészségügyi rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak;
- Amikor csak lehetséges el kell távolítani, le kell tiltani vagy meg kell változtatni az alapértelmezett felhasználói fiókok nevét és jelszavát;
- A nyers erőn (brute force) alapuló jelszótörések elleni védekezés jegyében felhasználói fiók-kizárási szabályokat célszerű alkalmazni;
- Erős jelszavak alkalmazását kikényszerítő szabályokat kell alkalmazni;
- Harmadik féltől származó alkalmazással célszerű monitorozni az adminisztrátori szintű jogosultságok kiadását;
- Az alapértelmezett beállításokat, amennyiben lehetséges, meg kell változtatni;
- A futó szolgáltatások hardening-jét célszerű elvégezni (csak azok a szolgáltatások fussanak, amik nélkülözhetetlenek);
- Biztonságos felhasználókezelési és hozzáférési szabályokat kell életbe léptetni;
- A megbízhatónak tartott firmware és szoftver-verziókból célszerű (valamilyen szinten tűzálló páncélszekrényben) elzárt fizikai példányokkal rendelkezni (lehetőleg egyszer írható adathordozón, pl. CD/DVD, stb.);
- Ismerni kell a normális működéshez tartozó hálózati forgalmat;
- Ki kell alakítani a biztonsági naplózás és naplóelemzés képességét és ezekre építve a megfelelő riasztási eljárásokat;
- Az új beállításokat labor körülmények között célszerű tesztelni, mielőtt az éles (és tartalék) rendszerekben alkalmaznák azokat.
