Bejelentés dátuma: 2024.07.09.
Gyártó: Delta Electronics
Érintett rendszer(ek):
- CNCSoft-G2 HMI-ok 2.0.0.5-ös verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Stack-based Buffer Overflow (CVE-2024-39880)/súlyos;
- Out-of-bounds Write (CVE-2024-39881)/súlyos;
- Out-of-bounds Read (CVE-2024-39882)/súlyos;
- Heap-based Buffer Overflow (CVE-2024-39883)/súlyos;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-24-191-01

Bejelentés dátuma: 2024.07.09.
Gyártó: Mitsubishi Electric
Érintett rendszer(ek):
- Mitsubishi Electric MELIPC sorozatú MI5122-VW ipari PC-k 05-től 07-ig tartó firmware-verziói (a 07-es is érintett);
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Incorrect Default Permissions (CVE-2024-3904)/súlyos;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-24-191-02

Bejelentés dátuma: 2024.07.09.
Gyártó: Johnson Controls
Érintett rendszer(ek):
- llustra Pro Gen 4 Camera SS016.05.03.01.0010-es és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Dependency on Vulnerable Third-Party Component (CVE-2024-32753)/közepes;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-24-191-03

Bejelentés dátuma: 2024.07.09.
Gyártó: Johnson Controls
Érintett rendszer(ek):
- Software House C-CURE 9000 2.80-as és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Use of Weak Credentials (CVE-2024-32759)/súlyos;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-24-191-04

Bejelentés dátuma: 2024.07.09.
Gyártó: Johnson Controls
Érintett rendszer(ek):
- Software House C-CURE 9000 Site Server: Version 3.00.3-as és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Incorrect Default Permissions (CVE-2024-32861)/súlyos;
Javítás: Nincs, a gyártó kockázatcsökkentő intézkedések alkalmazását javasolja.
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-24-191-05

Bejelentés dátuma: 2024.07.09.
Gyártó: Schneider Electric
Érintett rendszer(ek):
- Modicon Controllers M241/M251 minden verziója;
- Modicon Controllers M258/LMC058 minden verziója;
- Modicon Controllers M262 minden verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Cross-site Scripting (CVE-2024-6528)/közepes;
Javítás: Nincs, a gyártó jelenleg is dolgozik a sérülékenység javításán.
Link a publikációhoz: Schneider Electric

Bejelentés dátuma: 2024.07.09.
Gyártó: Siemens
Érintett rendszer(ek):
- SINEMA Remote Connect Server minden verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Command Injection (CVE-2024-39570)/súlyos;
- Command Injection (CVE-2024-39571)/súlyos;
Javítás: Elérhető
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2024.07.09.
Gyártó: Siemens
Érintett rendszer(ek):
- RUGGEDCOM i800 V4.3.10-nél korábbi verziói;
- RUGGEDCOM i800NC V4.3.10-nél korábbi verziói;
- RUGGEDCOM i801 V4.3.10-nél korábbi verziói;
- RUGGEDCOM i801NC V4.3.10-nél korábbi verziói;
- RUGGEDCOM i802 V4.3.10-nél korábbi verziói;
- RUGGEDCOM i802NC V4.3.10-nél korábbi verziói;
- RUGGEDCOM i803 V4.3.10-nél korábbi verziói;
- RUGGEDCOM i803NC V4.3.10-nél korábbi verziói;
- RUGGEDCOM M969 V4.3.10-nél korábbi verziói;
- RUGGEDCOM M969NC V4.3.10-nél korábbi verziói;
- RUGGEDCOM M2100 V4.3.10-nél korábbi verziói;
- RUGGEDCOM M2100NC V4.3.10-nél korábbi verziói;
- RUGGEDCOM M2200 V4.3.10-nél korábbi verziói;
- RUGGEDCOM M2200NC V4.3.10-nél korábbi verziói;
- RUGGEDCOM RMC30 V4.3.10-nél korábbi verziói;
- RUGGEDCOM RMC30NC V4.3.10-nél korábbi verziói;
- RUGGEDCOM RMC8388 V4.X V4.3.10-nél korábbi verziói;
- RUGGEDCOM RMC8388 V5.X V5.9.0-nál korábbi verziói;
- RUGGEDCOM RMC8388NC V4.X V4.3.10-nél korábbi verziói;
- RUGGEDCOM RMC8388NC V5.X V5.9.0-nál korábbi verziói;
- RUGGEDCOM RP110 V4.3.10-nél korábbi verziói;
- RUGGEDCOM RP110NC V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS400 V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS400NC V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS401 V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS401NC V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS416 V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS416NC V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS416NCv2 V4.X V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS416NCv2 V5.X V5.9.0-nál korábbi verziói;
- RUGGEDCOM RS416P V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS416PNC V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS416PNCv2 V4.X V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS416PNCv2 V5.X V5.9.0-nál korábbi verziói;
- RUGGEDCOM RS416Pv2 V4.X V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS416Pv2 V5.X V5.9.0-nál korábbi verziói;
- RUGGEDCOM RS416v2 V4.X V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS416v2 V5.X V5.9.0-nál korábbi verziói;
- RUGGEDCOM RS900 V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS900 (32M) V4.X V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS900 (32M) V5.X V5.9.0-nál korábbi verziói;
- RUGGEDCOM RS900G V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS900G (32M) V4.X V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS900G (32M) V5.X V5.9.0-nál korábbi verziói;
- RUGGEDCOM RS900GNC V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS900GNC(32M) V4.X V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS900GNC(32M) V5.X V5.9.0-nál korábbi verziói;
- RUGGEDCOM RS900GP V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS900GPNC V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS900L minden verziója;
- RUGGEDCOM RS900LNC minden verziója;
- RUGGEDCOM RS900M-GETS-C01 V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS900M-GETS-XX V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS900M-STND-C01 V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS900M-STND-XX V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS900MNC-GETS-C01 V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS900MNC-GETS-XX V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS900MNC-STND-XX V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS900MNC-STND-XX-C01 V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS900NC V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS900NC(32M) V4.X V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS900NC(32M) V5.X V5.9.0-nál korábbi verziói;
- RUGGEDCOM RS900W V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS910 V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS910L minden verziója;
- RUGGEDCOM RS910LNC minden verziója;
- RUGGEDCOM RS910NC V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS910W V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS920L minden verziója;
- RUGGEDCOM RS920LNC minden verziója;
- RUGGEDCOM RS920W minden verziója;
- RUGGEDCOM RS930L minden verziója;
- RUGGEDCOM RS930LNC minden verziója;
- RUGGEDCOM RS930W minden verziója;
- RUGGEDCOM RS940G V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS940GNC V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS969 minden verziója;
- RUGGEDCOM RS969NC minden verziója;
- RUGGEDCOM RS1600 V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS1600F V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS1600FNC V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS1600NC V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS1600T V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS1600TNC V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS8000 V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS8000A V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS8000ANC V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS8000H V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS8000HNC V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS8000NC V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS8000T V4.3.10-nél korábbi verziói;
- RUGGEDCOM RS8000TNC V4.3.10-nél korábbi verziói;
- RUGGEDCOM RSG907R V5.9.0-nál korábbi verziói;
- RUGGEDCOM RSG908C V5.9.0-nál korábbi verziói;
- RUGGEDCOM RSG909R V5.9.0-nál korábbi verziói;
- RUGGEDCOM RSG910C V5.9.0-nál korábbi verziói;
- RUGGEDCOM RSG920P V4.X V4.3.10-nél korábbi verziói;
- RUGGEDCOM RSG920P V5.X V5.9.0-nál korábbi verziói;
- RUGGEDCOM RSG920PNC V4.X V4.3.10-nél korábbi verziói;
- RUGGEDCOM RSG920PNC V5.X V5.9.0-nál korábbi verziói;
- RUGGEDCOM RSG2100 V4.3.10-nél korábbi verziói;
- RUGGEDCOM RSG2100 (32M) V4.X V4.3.10-nél korábbi verziói;
- RUGGEDCOM RSG2100 (32M) V5.X V5.9.0-nál korábbi verziói;
- RUGGEDCOM RSG2100NC V4.3.10-nél korábbi verziói;
- RUGGEDCOM RSG2100NC(32M) V4.X V4.3.10-nél korábbi verziói;
- RUGGEDCOM RSG2100NC(32M) V5.X V5.9.0-nál korábbi verziói;
- RUGGEDCOM RSG2100P V4.3.10-nél korábbi verziói;
- RUGGEDCOM RSG2100PNC V4.3.10-nél korábbi verziói;
- RUGGEDCOM RSG2200 V4.3.10-nél korábbi verziói;
- RUGGEDCOM RSG2200NC V4.3.10-nél korábbi verziói;
- RUGGEDCOM RSG2288 V4.X V4.3.10-nél korábbi verziói;
- RUGGEDCOM RSG2288 V5.X V5.9.0-nál korábbi verziói;
- RUGGEDCOM RSG2288NC V4.X V4.3.10-nél korábbi verziói;
- RUGGEDCOM RSG2288NC V5.X V5.9.0-nál korábbi verziói;
- RUGGEDCOM RSG2300 V4.X V4.3.10-nél korábbi verziói;
- RUGGEDCOM RSG2300 V5.X V5.9.0-nál korábbi verziói;
- RUGGEDCOM RSG2300NC V4.X V4.3.10-nél korábbi verziói;
- RUGGEDCOM RSG2300NC V5.X V5.9.0-nál korábbi verziói;
- RUGGEDCOM RSG2300P V4.X V4.3.10-nél korábbi verziói;
- RUGGEDCOM RSG2300P V5.X V5.9.0-nál korábbi verziói;
- RUGGEDCOM RSG2300PNC V4.X V4.3.10-nél korábbi verziói;
- RUGGEDCOM RSG2300PNC V5.X V5.9.0-nál korábbi verziói;
- RUGGEDCOM RSG2488 V4.X V4.3.10-nél korábbi verziói;
- RUGGEDCOM RSG2488 V5.X V5.9.0-nál korábbi verziói;
- RUGGEDCOM RSG2488NC V4.X V4.3.10-nél korábbi verziói;
- RUGGEDCOM RSG2488NC V5.X V5.9.0-nál korábbi verziói;
- RUGGEDCOM RSL910 V5.9.0-nál korábbi verziói;
- RUGGEDCOM RSL910NC V5.9.0-nál korábbi verziói;
- RUGGEDCOM RST916C V5.9.0-nál korábbi verziói;
- RUGGEDCOM RST916P V5.9.0-nál korábbi verziói;
- RUGGEDCOM RST2228 V5.9.0-nál korábbi verziói;
- RUGGEDCOM RST2228P V5.9.0-nál korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Exposure of Sensitive Information to an Unauthorized Actor (CVE-2023-52237)/súlyos;
- Exposure of Sensitive Information to an Unauthorized Actor (CVE-2023-52238)/közepes;
- Incorrect Privilege Assignment (CVE-2024-38278)/közepes;
- Exposure of Sensitive System Information to an Unauthorized Control Sphere (CVE-2024-39675)/súlyos;
Javítás:
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2024.07.09.
Gyártó: Siemens
Érintett rendszer(ek):
- JT Open minden verziója;
- PLM XML SDK minden verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- NULL Pointer Dereference (CVE-2024-37996)/alacsony;
- Stack-based Buffer Overflow (CVE-2024-37997)/súlyos;
Javítás: Elérhető
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2024.07.09.
Gyártó: Siemens
Érintett rendszer(ek):
- SIMATIC Energy Manager Basic V7.5-nél korábbi verziója;
- SIMATIC Energy Manager PRO V7.5-nél korábbi verziója;
- SIMATIC IPC DiagBase minden verziója;
- SIMATIC IPC DiagMonitor minden verziója;
- SIMIT V10 minden verziója;
- SIMIT V11 V11.1-nél korábbi verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Improperly Controlled Sequential Memory Allocation (CVE-2023-52891)/közepes;
Javítás: Részben elérhető
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2024.07.09.
Gyártó: Siemens
Érintett rendszer(ek):
- SINEMA Remote Connect Client V3.2 HF1-nél korábbi verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Command Injection (CVE-2024-39567)/súlyos;
- Command Injection (CVE-2024-39568)/súlyos;
- Command Injection (CVE-2024-39569)/közepes;
Javítás: Elérhető
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2024.07.09.
Gyártó: Siemens
Érintett rendszer(ek):
- TIA Portal minden verziója;
- TIA Portal V18 minden verziója;
- SIMATIC STEP 7 Safety V18 minden verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Deserialization of Untrusted Data (CVE-2023-32737)/közepes;
Javítás: Elérhető
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2024.07.09.
Gyártó: Siemens
Érintett rendszer(ek):
- Siemens JT2Go v14.3.0.8-nál korábbi verziói;
- Siemens Teamcenter Visualization V14.1 v14.1.0.14-nél korábbi verziói;
- Siemens Teamcenter Visualization V14.2 v14.2.0.10-nél korábbi verziói;
- Siemens Teamcenter Visualization V14.3 v14.3.0.8-nál korábbi verziói;
- Siemens Teamcenter Visualization V2312 v2312.0002-nél korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Out-of-bounds Read (CVE-2023-7066)/súlyos;
Javítás: Elérhető
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2024.07.09.
Gyártó: Siemens
Érintett rendszer(ek):
- Siemens SINEMA Remote Connect Server minden, V3.2 SP1-nél korábbi verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Incorrect User Management (CVE-2022-32260)/közepes;
- Unrestricted Upload of File with Dangerous Type (CVE-2024-39865)/súlyos;
- Privilege Defined with Unsafe Actions (CVE-2024-39866)/súlyos;
- Forced Browsing (CVE-2024-39867)/súlyos;
- Forced Browsing (CVE-2024-39868)/súlyos;
- Improper Check for Unusual or Exceptional Conditions (CVE-2024-39869)/közepes;
- Client-Side Enforcement of Server-Side Security (CVE-2024-39870)/közepes;
- Incorrect Authorization (CVE-2024-39871)/közepes;
- Creation of Temporary File With Insecure Permissions (CVE-2024-39872)/kritikus;
- Improper Restriction of Excessive Authentication Attempts (CVE-2024-39873)/súlyos;
- Improper Restriction of Excessive Authentication Attempts (CVE-2024-39874)/súlyos;
- Incorrect Permission Assignment for Critical Resource (CVE-2024-39875)/közepes;
- Allocation of Resources Without Limits or Throttling (CVE-2024-39876)/közepes;
Javítás: Elérhető
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2024.07.09.
Gyártó: Siemens
Érintett rendszer(ek):
- Simcenter Femap V2406-nál korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Out-of-bounds Read (CVE-2024-32055)/súlyos;
- Out-of-bounds Write (CVE-2024-32056)/súlyos;
- Type Confusion (CVE-2024-32057)/súlyos;
- Improper Restriction of Operations within the Bounds of a Memory Buffer (CVE-2024-32058)/súlyos;
- Out-of-bounds Read (CVE-2024-32059)/súlyos;
- Out-of-bounds Read (CVE-2024-32060)/súlyos;
- Out-of-bounds Read (CVE-2024-32061)/súlyos;
- Type Confusion (CVE-2024-32062)/súlyos;
- Type Confusion (CVE-2024-32063)/súlyos;
- Out-of-bounds Read (CVE-2024-32064)/súlyos;
- Out-of-bounds Read (CVE-2024-32065)/súlyos;
- Out-of-bounds Read (CVE-2024-32066)/súlyos;
- Stack-based Buffer Overflow (CVE-2024-33577)/súlyos;
- Out-of-bounds Read (CVE-2024-33653)/súlyos;
- Out-of-bounds Read (CVE-2024-33654)/súlyos;
Javítás: Elérhető
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2024.07.09.
Gyártó: Siemens
Érintett rendszer(ek):
- Siemens RUGGEDCOM APE1808 minden, Fortinet NGFW-vel használ verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Stack-based Buffer Overflow (CVE-2023-46720)/közepes;
- Use of Password Hash With Insufficient Computational Effort (CVE-2024-21754)/alacsony;
- Cross-site Scripting (CVE-2024-23111)/közepes;
- Stack-based Buffer Overflow (CVE-2024-26010)/súlyos;
Javítás: A javításról a gyártó támogató csapata tud információt adni.
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2024.07.09.
Gyártó: Siemens
Érintett rendszer(ek):
- RUGGEDCOM APE1808 minden, Palo Alto Networks Virtual NGFW-vel használt verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Truncation of Security-relevant Information (CVE-2023-48795)/közepes;
Javítás: Elérhető
Link a publikációhoz: Siemens ProductCERT

Bejelentés dátuma: 2024.07.09.
Gyártó: Siemens
Érintett rendszer(ek):
- RUGGEDCOM CROSSBOW minden verziója;
- RUGGEDCOM ROS V4.X család;
- RUGGEDCOM ROX II család;
- SCALANCE M-800 család (beleértve az S615-ös, MUM-800-as és RM1224-es modelleket is);
- SCALANCE SC-600 család;
- SCALANCE W-700 IEEE 802.11ax család;
- SCALANCE W-700 IEEE 802.11n család;
- SCALANCE W-1700 IEEE 802.11ac család;
- SCALANCE X-300 család (beleértve az X408 és SIPLUS NET változatokat is);
- SCALANCE XB-200/XC-200/XP-200/XF-200BA/XR-300WG család;
- SCALANCE XCM-/XRM-/XCH-/XRH-300 család;
- SCALANCE XM-400/XR-500 család;
- SINEC INS minden, engedélyezett RADIUS Server funkcióval használt verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Improper Enforcement of Message Integrity During Transmission in a Communication Channel (CVE-2024-3596)/kritikus;
Javítás: Nincs, a gyártó kockázatcsökkentő intézkedések alkalmazását javasolja.
Link a publikációhoz: Siemens ProductCERT

Bejelentés dátuma: 2024.07.09.
Gyártó: Siemens
Érintett rendszer(ek):
- SIPROTEC 5 - CP050 eszközök;
- SIPROTEC 5 - CP100 eszközök;
- SIPROTEC 5 - CP150 eszközök;
- SIPROTEC 5 - CP200 eszközök;
- SIPROTEC 5 - CP300 eszközök;
- SIPROTEC 5 kommunikációs modulok;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Inadequate Encryption Strength (CVE-2024-38867)/közepes;
Javítás: Részben elérhető.
Link a publikációhoz: Siemens ProductCERT

Bejelentés dátuma: 2024.07.09.
Gyártó: Siemens
Érintett rendszer(ek):
- Totally Integrated Automation Portal (TIA Portal) V19 előtti verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Deserialization of Untrusted Data (CVE-2023-32735)/közepes;
Javítás: Nincs, a gyártó kockázatcsökkentő intézkedések alkalmazását javasolja.
Link a publikációhoz: Siemens ProductCERT

Bejelentés dátuma: 2024.07.09.
Gyártó: Siemens
Érintett rendszer(ek):
- SIMATIC PCS neo V4.0 minden verziója;
- Totally Integrated Automation Portal (TIA Portal) V18 Update 2 előtti verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Deserialization of Untrusted Data (CVE-2022-45147)/súlyos;
Javítás: Nincs, a gyártó kockázatcsökkentő intézkedések alkalmazását javasolja.
Link a publikációhoz: Siemens ProductCERT

Bejelentés dátuma: 2024.07.09.
Gyártó: Siemens
Érintett rendszer(ek):
- SIMATIC PCS 7 V9.1 minden verziója;
- SIMATIC WinCC Runtime Professional V18 minden verziója;
- SIMATIC WinCC Runtime Professional V19 minden, V19 Update 2-nél korábbi verziója;
- SIMATIC WinCC V7.4 minden, V7.4 SP1 Update 23-nál korábbi verziója;
- SIMATIC WinCC V7.5 minden, V7.5 SP2 Update 17-nél korábbi verziója;
- SIMATIC WinCC V8.0 minden, V8.0 Update 5-nél korábbi verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Exposure of Private Personal Information to an Unauthorized Actor (CVE-2024-30321)/közepes;
Javítás: Részben elérhető.
Link a publikációhoz: Siemens ProductCERT

Bejelentés dátuma: 2024.07.09.
Gyártó: Siemens
Érintett rendszer(ek):
- Mendix Encryption minden, V10.0.0-nál újabb, de V10.0.2-nél korábbi verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Use of Hard-coded, Security-relevant Constants (CVE-2024-39888)/súlyos;
Javítás: Elérhető
Link a publikációhoz: Siemens ProductCERT

Bejelentés dátuma: 2024.07.10.
Gyártó: Moxa
Érintett rendszer(ek):
- ioThinx 4530 sorozatú eszközök 2.0 és korábbi firmware-verziói;
- ioPAC 8600 sorozatú eszközök 2.1 és korábbi firmware-verziói;
- EDS-4000 sorozatú eszközök 3.2 és korábbi firmware-verziói;
- EDS-G4000 sorozatú eszközök 3.2 és korábbi firmware-verziói;
- EDR-G9010 sorozatú eszközök 3.3 és korábbi firmware-verziói;
- EDR-8010 sorozatú eszközök 3.3 és korábbi firmware-verziói;
- NAT-102 sorozatú eszközök 1.0.5és korábbi firmware-verziói;
- OnCell G4302-LTE4 3.0 és korábbi firmware-verziói;
- MXsecurity 2.0 és korábbi verziói;
- UC-1200A sorozatú eszközök 1.1 és korábbi firmware-verziói;
- UC-2200A sorozatú eszközök 1.1 és korábbi firmware-verziói;
- UC-2100 sorozatú eszközök 1.14 és korábbi firmware-verziói;
- UC-3100 sorozatú eszközök 1.8 és korábbi firmware-verziói;
- UC-5100 sorozatú eszközök 1.6 és korábbi firmware-verziói;
- UC-8100 sorozatú eszközök 3.7 és korábbi firmware-verziói;
- UC-8100-ME sorozatú eszközök 3.3 és korábbi firmware-verziói;
- UC-8100A-ME-T sorozatú eszközök 1.7 és korábbi firmware-verziói;
- UC-8200 sorozatú eszközök 1.7 és korábbi firmware-verziói;
- UC-8410A sorozatú eszközök 4.3.2 és korábbi firmware-verziói;
- UC-8540 sorozatú eszközök 2.3 és korábbi firmware-verziói;
- UC-8580 sorozatú eszközök 2.3 és korábbi firmware-verziói;
- V2406C sorozatú eszközök 1.3 és korábbi firmware-verziói;
- V2201 sorozatú eszközök 2.1 és korábbi firmware-verziói;
- V2403C sorozatú eszközök 1.1 és korábbi firmware-verziói;
- DA-820C sorozatú eszközök 1.2 és korábbi firmware-verziói;
- DA-682C sorozatú eszközök 1.3 és korábbi firmware-verziói;
- DA-681C sorozatú eszközök 1.2 és korábbi firmware-verziói;
- DA-681A sorozatú eszközök 1.0 és korábbi firmware-verziói;
- DA-720 sorozatú eszközök 1.0 és korábbi firmware-verziói;
- MC-1100 sorozatú eszközök 2.0 és korábbi firmware-verziói;
- MC-7400 sorozatú eszközök 1.0 és korábbi firmware-verziói;
- MPC-2070 sorozatú eszközök 1.0 és korábbi firmware-verziói;
- MPC-2101 sorozatú eszközök 1.0 és korábbi firmware-verziói;
- MPC-2120 sorozatú eszközök 1.0 és korábbi firmware-verziói;
- MPC-2121 sorozatú eszközök 1.0 és korábbi firmware-verziói;
- MPC-2190 sorozatú eszközök 1.0 és korábbi firmware-verziói;
- MPC-2240 sorozatú eszközök 1.0 és korábbi firmware-verziói;
- EXPC-1519 sorozatú eszközök 1.0 és korábbi firmware-verziói;
- MPC-2150 sorozatú eszközök 1.0 és korábbi firmware-verziói;
- BXP-C100 sorozatú eszközök 1.0 és korábbi firmware-verziói;
- DRP-C100 sorozatú eszközök 1.0 és korábbi firmware-verziói;
- DRP-A100 sorozatú eszközök 1.0 és korábbi firmware-verziói;
- TN-4900 sorozatú eszközök 3.6 és korábbi firmware-verziói;
- AIG-301 sorozatú eszközök 1.5.1 és korábbi firmware-verziói;
- AIG-302 sorozatú eszközök 1.0 és korábbi firmware-verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Use After Free (CVE-2024-1086)/súlyos;
Javítás: Elérhető
Link a publikációhoz: Moxa

Bejelentés dátuma: 2024.07.11.
Gyártó: Rockwell Automation
Érintett rendszer(ek):
- ThinManager ThinServer 11.1.0, 11.2.0, 12.0.0, 12.1.0, 13.0.0, 13.1.0 és 13.2.0 verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Improper Input Validation (CVE-2024-5988)/kritikus;
- Improper Input Validation (CVE-2024-5989)/kritikus;
- Improper Input Validation (CVE-2024-5990)/súlyos;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-24-193-18

A sérülékenységek negatív hatásainak csökkentése érdekében az ICS-CERT az alábbi kockázatcsökkentő intézkedések bevezetését javasolja:

- Minimálisra kell csökkenteni az ipari/egészségügyi rendszerek/hálózatok kapcsolatát az Internettel, az ilyen eszközök közvetlen Internetre történő csatlakoztatását kerülni kell;
- Az ipari/egészségügyi rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari/egészségügyi rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak;
- Amikor csak lehetséges el kell távolítani, le kell tiltani vagy meg kell változtatni az alapértelmezett felhasználói fiókok nevét és jelszavát;
- A nyers erőn (brute force) alapuló jelszótörések elleni védekezés jegyében felhasználói fiók-kizárási szabályokat célszerű alkalmazni;
- Erős jelszavak alkalmazását kikényszerítő szabályokat kell alkalmazni;
- Harmadik féltől származó alkalmazással célszerű monitorozni az adminisztrátori szintű jogosultságok kiadását;
- Az alapértelmezett beállításokat, amennyiben lehetséges, meg kell változtatni;
- A futó szolgáltatások hardening-jét célszerű elvégezni (csak azok a szolgáltatások fussanak, amik nélkülözhetetlenek);
- Biztonságos felhasználókezelési és hozzáférési szabályokat kell életbe léptetni;
- A megbízhatónak tartott firmware és szoftver-verziókból célszerű (valamilyen szinten tűzálló páncélszekrényben) elzárt fizikai példányokkal rendelkezni (lehetőleg egyszer írható adathordozón, pl. CD/DVD, stb.);
- Ismerni kell a normális működéshez tartozó hálózati forgalmat;
- Ki kell alakítani a biztonsági naplózás és naplóelemzés képességét és ezekre építve a megfelelő riasztási eljárásokat;
- Az új beállításokat labor körülmények között célszerű tesztelni, mielőtt az éles (és tartalék) rendszerekben alkalmaznák azokat.