Bejelentés dátuma: 2023.10.31.
Gyártó: Zavio
Érintett rendszer(ek):
- CF7500 M2.1.6.05-ös verziója;
- CF7300 M2.1.6.05-ös verziója;
- CF7201 M2.1.6.05-ös verziója;
- CF7501 M2.1.6.05-ös verziója;
- CB3211 M2.1.6.05-ös verziója;
- CB3212 M2.1.6.05-ös verziója;
- CB5220 M2.1.6.05-ös verziója;
- CB6231 M2.1.6.05-ös verziója;
- B8520 M2.1.6.05-ös verziója;
- B8220 M2.1.6.05-ös verziója;
- CD321 M2.1.6.05-ös verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Stack-based Buffer Overflow (CVE-2023-3959)/kritikus;
- Stack-based Buffer Overflow (CVE-2023-45225)/kritikus;
- Stack-based Buffer Overflow (CVE-2023-43755)/kritikus;
- Stack-based Buffer Overflow (CVE-2023-39435)/súlyos;
- OS Command Injection (CVE-2023-4249)/súlyos;
Javítás: Nincs, az érintett termékek elérték életciklusuk végét.
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-23-304-03

Bejelentés dátuma: 2023.10.31.
Gyártó: INEA
Érintett rendszer(ek):
- Inea ME RTU 3.36b és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- OS Command Injection (CVE-2023-35762)/kritikus;
- Improper Authentication (CVE-2023-29155)/kritikus;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-23-304-02

Bejelentés dátuma: 2023.11.01.
Gyártó: Moxa
Érintett rendszer(ek):
- Moxa EDR-810 sorozatú eszközök v5.12.28-as és korábbi verziói;
- Moxa EDR G902 sorozatú eszközök v5.7.20-as és korábbi verziói;
- Moxa EDR G903 sorozatú eszközök v5.7.20-as és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Buffer Copy Without Checking Size of Input (CVE-2023-4452)/közepes;
Javítás: Elérhető
Link a publikációhoz: Moxa

Bejelentés dátuma: 2023.11.01.
Gyártó: Moxa
Érintett rendszer(ek):
- NPort 6000 sorozatú eszközök v1.21-es és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Incorrect Authentication Mechanism (CVE-2023-5627)/súlyos;
Javítás: Elérhető
Link a publikációhoz: Moxa

Bejelentés dátuma: 2023.11.02.
Gyártó: Moxa
Érintett rendszer(ek):
- Moxa PT-G503 sorozatú eszközök 5.2-es és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Cross-site Scripting (CVE-2015-9251)/közepes;
- Cross-site Scripting (CVE-2020-11022)/közepes;
- Cross-site Scripting (CVE-2020-11023)/közepes;
- Prototype Pollution (CVE-2019-11358)/közepes;
- Inadequate Encryption Strength (CVE-2005-4900)/közepes;
- Sensitive Cookie Without 'HttpOnly' Flag (CVE-2023-4217)/alacsony;
- Sensitive Cookie in HTTPS Session Without 'Secure' Attribute (CVE-2023-5035)/alacsony;
Javítás: Elérhető
Link a publikációhoz: Moxa

Bejelentés dátuma: 2023.11.02.
Gyártó: Franklin Fueling System
Érintett rendszer(ek):
- TS-550 minden, 1.9.23.8960-nál korábbi verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Use of Password Hash with Insufficient Computational Effort (CVE-2023-5846)/súlyos;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-23-306-04

Bejelentés dátuma: 2023.11.02.
Gyártó: Red Lion
Érintett rendszer(ek):
- Crimson v3.2.0053.18-as és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Improper Neutralization of Null Byte or NUL Character (CVE-2023-5719)/súlyos;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-23-306-01

Bejelentés dátuma: 2023.11.02.
Gyártó: Mitsubishi Electric
Érintett rendszer(ek):
- MELSEC-F sorozatú eszközök FX3U-xMy/z x=16,32,48,64,80,128, y=T,R, z=ES,ESS,DS,DSS minden verziója;
- MELSEC-F sorozatú eszközök FX3U-32MR/UA1, FX3U-64MR/UA1 minden verziója;
- MELSEC-F sorozatú eszközök FX3U-32MS/ES, FX3U-64MS/ES minden verziója;
- MELSEC-F sorozatú eszközök FX3U-xMy/ES-A x=16,32,48,64,80,128, y=T,R minden verziója;
- MELSEC-F sorozatú eszközök FX3UC-xMT/z x=16,32,64,96, z=D,DSS minden verziója;
- MELSEC-F sorozatú eszközök FX3UC-16MR/D-T, FX3UC-16MR/DS-T minden verziója;
- MELSEC-F sorozatú eszközök FX3UC-32MT-LT, FX3UC-32MT-LT-2 minden verziója;
- MELSEC-F sorozatú eszközök FX3UC-16MT/D-P4, FX3UC-16MT/DSS-P4 minden verziója;
- MELSEC-F sorozatú eszközök FX3G-xMy/z x=14,24,40,60, y=T,R, z=ES,ESS,DS,DSS minden verziója;
- MELSEC-F sorozatú eszközök FX3G-xMy/ES-A x=14,24,40,60, y=T,R minden verziója;
- MELSEC-F sorozatú eszközök FX3GC-32MT/D, FX3GC-32MT/DSS minden verziója;
- MELSEC-F sorozatú eszközök FX3GE-xMy/z x=24,40, y=T,R, z=ES,ESS,DS,DSS minden verziója;
- MELSEC-F sorozatú eszközök FX3GA-xMy-CM x=24,40,60, y=T,R minden verziója;
- MELSEC-F sorozatú eszközök FX3S-xMy/z x=10,14,20,30, y=T,R, z=ES,ESS,DS,DSS minden verziója;
- MELSEC-F sorozatú eszközök FX3S-30My/z-2AD y=T,R, z=ES,ESS minden verziója;
- MELSEC-F sorozatú eszközök FX3SA-xMy-CM x=10,14,20,30, y=T,R minden verziója;
- MELSEC iQ-F sorozatú eszközök FX5U-xMy/z x=32,64,80, y=T,R, z=ES,DS,ESS,DSS minden verziója;
- MELSEC iQ-F sorozatú eszközök FX5UC-xMy/z x=32,64,96, y=T, z=D,DSS minden verziója;
- MELSEC iQ-F sorozatú eszközök FX5UC-32MT/DS-TS, FX5UC-32MT/DSS-TS, FX5UC-32MR/DS-TS minden verziója;
- MELSEC iQ-F sorozatú eszközök FX5UJ-xMy/z x=24,40,60, y=T,R, z=ES,ESS,DS,DSS minden verziója;
- MELSEC iQ-F sorozatú eszközök FX5UJ-xMy/ES-A x=24,40,60, y=T,R minden verziója;
- MELSEC iQ-F sorozatú eszközök FX5S-xMy/z x=30,40,60,80, y=T,R, z=ES,ESS minden verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Insufficient Verification of Data Authenticity (CVE-2023-4699)/kritikus;
Javítás: Nincs, a gyártó kockázatcsökkentő intézkedések alkalmazását javasolja.
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-23-306-03

Bejelentés dátuma: 2023.11.02.
Gyártó: Weintek
Érintett rendszer(ek):
- EasyBuilder Pro v6.07.02-nél korábbi verziói;
- EasyBuilder Pro 6.08.01.592-nél korábbi verziói;
- EasyBuilder Pro 6.08.02.470-nél korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Use of Hard-coded Credentials (CVE-2023-5777)/kritikus;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-23-306-05

Bejelentés dátuma: 2023.11.02.
Gyártó: Mitsubishi Electric
Érintett rendszer(ek):
- FX5U-xMy/z x=32,64,80, y=T,R, z=ES,DS,ESS,DSS (17X**** és későbbi sorozatszámú) eszközök minden verziója;
- FX5U-xMy/z x=32,64,80, y=T,R, z=ES,DS,ESS,DSS (179**** és későbbi sorozatszámú) eszközök 1.060-as és későbbi verziói;
- FX5UC-xMy/z x=32,64,96, y=T, z=D,DSS (17X**** és későbbi sorozatszámú) eszközök minden verziója;
- FX5UC-xMy/z x=32,64,96, y=T, z=D,DSS (179**** és későbbi sorozatszámú) eszközök 1.060-as és későbbi verziói;
- FX5UC-32MT/DS-TS, FX5UC-32MT/DSS-TS, FX5UC-32MR/DS-TS eszközök minden verziója;
- FX5UJ-xMy/z x=24,40,60, y=T,R, z=ES,DS,ESS,DSS eszközök minden verziója;
- FX5UJ-xMy/ES-A* x=24,40,60, y=T,R eszközök minden verziója;
- FX5S-xMy/z x=30,40,60,80*, y=T,R, z=ES,ESS eszközök minden verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Improper Restriction of Excessive Authentication Attempts (CVE-2023-4625)/közepes;
Javítás: Nincs, a gyártó kockázatcsökkentő intézkedések alkalmazását javasolja.
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-23-306-02

A fenti sérülékenységek negatív hatásainak csökkentése érdekében az ICS-CERT az alábbi kockázatcsökkentő intézkedések bevezetését javasolja:

- Minimálisra kell csökkenteni az ipari/egészségügyi rendszerek/hálózatok kapcsolatát az Internettel, az ilyen eszközök közvetlen Internetre történő csatlakoztatását kerülni kell;
- Az ipari/egészségügyi rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari/egészségügyi rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak;
- Amikor csak lehetséges el kell távolítani, le kell tiltani vagy meg kell változtatni az alapértelmezett felhasználói fiókok nevét és jelszavát;
- A nyers erőn (brute force) alapuló jelszótörések elleni védekezés jegyében felhasználói fiók-kizárási szabályokat célszerű alkalmazni;
- Erős jelszavak alkalmazását kikényszerítő szabályokat kell alkalmazni;
- Harmadik féltől származó alkalmazással célszerű monitorozni az adminisztrátori szintű jogosultságok kiadását;
- Az alapértelmezett beállításokat, amennyiben lehetséges, meg kell változtatni;
- A futó szolgáltatások hardening-jét célszerű elvégezni (csak azok a szolgáltatások fussanak, amik nélkülözhetetlenek);
- Biztonságos felhasználókezelési és hozzáférési szabályokat kell életbe léptetni;
- A megbízhatónak tartott firmware és szoftver-verziókból célszerű (valamilyen szinten tűzálló páncélszekrényben) elzárt fizikai példányokkal rendelkezni (lehetőleg egyszer írható adathordozón, pl. CD/DVD, stb.);
- Ismerni kell a normális működéshez tartozó hálózati forgalmat;
- Ki kell alakítani a biztonsági naplózás és naplóelemzés képességét és ezekre építve a megfelelő riasztási eljárásokat;
- Az új beállításokat labor körülmények között célszerű tesztelni, mielőtt az éles (és tartalék) rendszerekben alkalmaznák azokat.