Ipari és folyamatirányítási informatikai rendszerek biztonságáról magyarul.

ICS Cyber Security blog

ICS Cyber Security blog

ICS sérülékenységek CDXLIII

Sérülékenységek Schneider Electric, Siemens, Rockwell Automation, Hitachi Energy és 2N rendszerekben

Facebook Tumblr Tweet Pinterest Tetszik
0
2024. november 20. - icscybersec

Bejelentés dátuma: 2024.11.12.
Gyártó: Schneider Electric
Érintett rendszer(ek):
- Modicon M340 CPU (BMXP34* cikkszámú modellek) minden verziója;
- Modicon MC80 (BMKC80 cikkszámú modellek) minden verziója;
- Modicon Momentum Unity M1E Processor (171CBU*) minden verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Improper Enforcement of Message Integrity During Transmission in a Communication Channel (CVE-2024-8933)/súlyos;
- Authentication Bypass by Spoofing (CVE-2024-8935)/súlyos;
Javítás: A gyártó jelenleg is dolgozik a hibák javításán.
Link a publikációhoz: Schneider Electric

Bejelentés dátuma: 2024.11.12.
Gyártó: Schneider Electric
Érintett rendszer(ek):
- Modicon M340 CPU (BMXP34* cikkszámú modellek) SV3.65-nél korábbi verziói;
- Modicon MC80 (BMKC80 cikkszámú modellek) minden verziója;
- Modicon Momentum Unity M1E Processor (171CBU*) minden verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Improper Input Validation (CVE-2024-8936)/közepes;
- Improper Restriction of Operations within the Bounds of a Memory Buffer (CVE-2024-8937)/súlyos;
- Improper Restriction of Operations within the Bounds of a Memory Buffer (CVE-2024-8938)/súlyos;
Javítás: elérhető
Link a publikációhoz: Schneider Electric

Bejelentés dátuma: 2024.11.12.
Gyártó: Schneider Electric
Érintett rendszer(ek):
- EcoStruxure™ IT Gateway 1.21.0.6-os, 1.22.0.3-as, 1.22.1.5-os és 1.23.0.4-es verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Missing Authorization (CVE-2024-10575)/kritikus;
Javítás: Elérhető
Link a publikációhoz: Schneider Electric

Bejelentés dátuma: 2024.11.12.
Gyártó: Siemens
Érintett rendszer(ek):
- RUGGEDCOM CROSSBOW Station Access Controller (SAC) 5.6-osnál korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Heap-based Buffer Overflow (CVE-2023-7104)/közepes;
- Use After Free (CVE-2024-0232)/közepes;
Javítás: Elérhető
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2024.11.12.
Gyártó: Siemens
Érintett rendszer(ek):
- Siemens SIPORT V3.4.0-nál korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Incorrect Permission Assignment for Critical Resource (CVE-2024-47783)/súlyos;
Javítás: Elérhető
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2024.11.12.
Gyártó: Siemens
Érintett rendszer(ek):
- OZW672 V5.2-nél korábbi verziói;
- OZW772 V5.2-nél korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Cross-site Scripting (CVE-2024-36140)/közepes;
Javítás: Elérhető
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2024.11.12.
Gyártó: Siemens
Érintett rendszer(ek):
- Siemens SINEC NMS V3.0 SP1-nél korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Improper Input Validation (CVE-2023-4807)/súlyos;
- Improper Input Validation (CVE-2023-5363)/súlyos;
- Improper Check for Unusual or Exceptional Conditions (CVE-2023-5678)/közepes;
- Out-of-bounds Write (CVE-2023-6129)/közepes;
- Uncontrolled Resource Consumption (CVE-2023-6237)/közepes;
- HTTP Request/Response Splitting (CVE-2023-38709)/közepes;
- Improper Input Validation (CVE-2023-46218)/közepes;
- Missing Encryption of Sensitive Data (CVE-2023-46219)/közepes;
- Out-of-bounds Read (CVE-2023-46280)/közepes;
- Improper Input Validation (CVE-2024-0727)/közepes;
- Improper Input Validation (CVE-2024-2004)/közepes;
- Improper Certificate Validation (CVE-2024-2379)/közepes
- Missing Release of Resource after Effective Lifetime (CVE-2024-2398)/súlyos;
- Improper Validation of Certificate with Host Mismatch (CVE-2024-2466)/súlyos;
- HTTP Request/Response Splitting (CVE-2024-24795)/közepes;
- Allocation of Resources Without Limits or Throttling (CVE-2024-27316)/súlyos;
- Incorrect Permission Assignment for Critical Resource (CVE-2024-47808)/súlyos;
Javítás: Elérhető
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2024.11.12.
Gyártó: Siemens
Érintett rendszer(ek):
- Solid Edge SE2024 V224.0 Update 9-nél korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Out-of-bounds Read (CVE-2024-47940)/súlyos;
- Uncontrolled Search Path Element (CVE-2024-47941)/súlyos;
- Uncontrolled Search Path Element (CVE-2024-47942)/súlyos;
Javítás: Elérhető
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2024.11.12.
Gyártó: Siemens
Érintett rendszer(ek):
- RUGGEDCOM RM1224 LTE(4G) EU (6GK6108-4AM00-2BA2) V8.2-nél korábbi verziói;
- RUGGEDCOM RM1224 LTE(4G) NAM (6GK6108-4AM00-2DA2) V8.2-nél korábbi verziói;
- SCALANCE M804PB (6GK5804-0AP00-2AA2) V8.2-nél korábbi verziói;
- SCALANCE M812-1 ADSL-Router (6GK5812-1AA00-2AA2) V8.2-nél korábbi verziói;
- SCALANCE M812-1 ADSL-Router (6GK5812-1BA00-2AA2) V8.2-nél korábbi verziói;
- SCALANCE M816-1 ADSL-Router (6GK5816-1AA00-2AA2) V8.2-nél korábbi verziói;
- SCALANCE M816-1 ADSL-Router (6GK5816-1BA00-2AA2) V8.2-nél korábbi verziói;
- SCALANCE M826-2 SHDSL-Router (6GK5826-2AB00-2AB2) V8.2-nél korábbi verziói;
- SCALANCE M874-2 (6GK5874-2AA00-2AA2) V8.2-nél korábbi verziói;
- SCALANCE M874-3 3G-Router (CN) (6GK5874-3AA00-2FA2) V8.2-nél korábbi verziói;
- SCALAN-nél korábbi verziói;CE M874-3 (6GK5874-3AA00-2AA2) V8.2
- SCALANCE M876-3 (6GK5876-3AA02-2BA2) V8.2-nél korábbi verziói;
- SCALANCE M876-3 (ROK) (6GK5876-3AA02-2EA2) V8.2-nél korábbi verziói;
- SCALANCE M876-4 (6GK5876-4AA10-2BA2) V8.2-nél korábbi verziói;
- SCALANCE M876-4 (EU) (6GK5876-4AA00-2BA2) V8.2-nél korábbi verziói;
- SCALANCE M876-4 (NAM) (6GK5876-4AA00-2DA2) V8.2-nél korábbi verziói;
- SCALANCE MUM853-1 (A1) (6GK5853-2EA10-2AA1) V8.2-nél korábbi verziói;
- SCALANCE MUM853-1 (B1) (6GK5853-2EA10-2BA1) V8.2-nél korábbi verziói;
- SCALANCE MUM853-1 (EU) (6GK5853-2EA00-2DA1) V8.2-nél korábbi verziói;
- SCALANCE MUM856-1 (A1) (6GK5856-2EA10-3AA1) V8.2-nél korábbi verziói;
- SCALANCE MUM856-1 (B1) (6GK5856-2EA10-3BA1) V8.2-nél korábbi verziói;
- SCALANCE MUM856-1 (CN) (6GK5856-2EA00-3FA1) V8.2-nél korábbi verziói;
- SCALANCE MUM856-1 (EU) (6GK5856-2EA00-3DA1) V8.2-nél korábbi verziói;
- SCALANCE MUM856-1 (RoW) (6GK5856-2EA00-3AA1) V8.2-nél korábbi verziói;
- SCALANCE S615 EEC LAN-Router (6GK5615-0AA01-2AA2) V8.2-nél korábbi verziói;
- SCALANCE S615 LAN-Router (6GK5615-0AA00-2AA2) V8.2-nél korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Out-of-bounds Read (CVE-2021-3506)/súlyos;
- Missing Encryption of Sensitive Data (CVE-2023-28450)/súlyos;
- Integer Overflow or Wraparound (CVE-2023-49441)/súlyos;
- Uncontrolled Resource Consumption (CVE-2024-2511)/alacsony;
- Excessive Iteration (CVE-2024-4603)/közepes;
- Use After Free (CVE-2024-4741)/súlyos;
- Improper Output Neutralization for Logs (CVE-2024-5594)/közepes;
- Observable Discrepancy (CVE-2024-26306)/közepes;
- Improper Locking (CVE-2024-26925)/közepes;
- Missing Release of Resource after Effective Lifetime (CVE-2024-28882)/közepes;
- Improper Input Validation (CVE-2024-50557)/súlyos;
- Improper Access Control (CVE-2024-50558)/közepes;
- Path Traversal (CVE-2024-50559)/közepes;
- Improper Input Validation (CVE-2024-50560)/alacsony;
- Cross-site Scripting (CVE-2024-50561)/közepes;
- Injection (CVE-2024-50572)/súlyos;
Javítás: Elérhető
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2024.11.12.
Gyártó: Siemens
Érintett rendszer(ek):
- SIMATIC S7-PLCSIM V16 minden verziója;
- SIMATIC S7-PLCSIM V17 minden verziója;
- SIMATIC STEP 7 Safety V16 minden verziója;
- SIMATIC STEP 7 Safety V17 minden, V17 Update 8-nál korábbi verziója;
- SIMATIC STEP 7 Safety V18 minden, V18 Update 5-nél korábbi verziója;
- SIMATIC STEP 7 V16 minden verziója;
- SIMATIC STEP 7 V17 minden, V17 Update 8-nál korábbi verziója;
- SIMATIC STEP 7 V18 minden, V18 Update 5-nél korábbi verziója;
- SIMATIC WinCC Unified V16 minden verziója;
- SIMATIC WinCC Unified V17 minden, V17 Update 8-nál korábbi verziója;
- SIMATIC WinCC Unified V18 minden, V18 Update 5-nél korábbi verziója;
- SIMATIC WinCC V16 minden verziója;
- SIMATIC WinCC V17 minden, V17 Update 8-nál korábbi verziója;
- SIMATIC WinCC V18 minden, V18 Update 5-nél korábbi verziója;
- SIMOCODE ES V16 minden verziója;
- SIMOCODE ES V17 minden, V17 Update 8-nál korábbi verziója;
- SIMOCODE ES V18 minden verziója;
- SIMOTION SCOUT TIA V5.4 SP1 minden verziója;
- SIMOTION SCOUT TIA V5.4 SP3 minden verziója;
- SIMOTION SCOUT TIA V5.5 SP1 minden verziója;
- SINAMICS Startdrive V16 minden verziója;
- SINAMICS Startdrive V17 minden verziója;
- SINAMICS Startdrive V18 minden verziója;
- SIRIUS Safety ES V17 minden, V17 Update 8-nál korábbi verziója;
- SIRIUS Safety ES V18 minden verziója;
- SIRIUS Soft Starter ES V17 minden, V17 Update 8-nál korábbi verziója;
- SIRIUS Soft Starter ES V18 minden verziója;
- TIA Portal Cloud V16 minden verziója;
- TIA Portal Cloud V17 minden, V4.6.0.1-nél korábbi verziója;
- TIA Portal Cloud V18 minden, V4.6.1.0-nál korábbi verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Deserialization of Untrusted Data (CVE-2023-32736)/súlyos;
Javítás:
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2024.11.12.
Gyártó: Siemens
Érintett rendszer(ek):
- SINEC INS V1.0 SP2 Update 3-nál korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Improper Authentication (CVE-2023-2975)/közepes;
- Out-of-bounds Write (CVE-2023-3341)/súlyos;
- Inefficient Regular Expression Complexity (CVE-2023-3446)/közepes;
- Excessive Iteration (CVE-2023-3817)/közepes;
- Reachable Assertion (CVE-2023-4236)/súlyos;
- Uncontrolled Resource Consumption (CVE-2023-4408)/súlyos;
- Improper Input Validation (CVE-2023-4807)/súlyos;
- Reachable Assertion (CVE-2023-5517)/súlyos;
- Improper Check for Unusual or Exceptional Conditions (CVE-2023-5678)/közepes;
- Reachable Assertion (CVE-2023-5679)/súlyos;
- Uncontrolled Resource Consumption (CVE-2023-5680)/súlyos;
- Out-of-bounds Write (CVE-2023-6129)/közepes;
- Uncontrolled Resource Consumption (CVE-2023-6237)/közepes;
- Memory Allocation with Excessive Size Value (CVE-2023-6516)/súlyos;
- Heap-based Buffer Overflow (CVE-2023-7104)/közepes;
- Missing Encryption of Sensitive Data (CVE-2023-32002)/kritikus;
- Path Traversal (CVE-2023-32003)/súlyos;
- Path Traversal (CVE-2023-32004)/közepes;
- Incorrect Permission Assignment for Critical Resource (CVE-2023-32005)/súlyos;
- Missing Encryption of Sensitive Data (CVE-2023-32006)
- Path Traversal (CVE-2023-32558)/súlyos;
- Missing Encryption of Sensitive Data (CVE-2023-32559)/súlyos;
- Exposure of Sensitive Information to an Unauthorized Actor (CVE-2023-38552)/súlyos;
- Improper Input Validation (CVE-2023-39331)/súlyos;
- Improper Input Validation (CVE-2023-39332)/kritikus;
- Improper Input Validation (CVE-2023-39333)/közepes;
- Uncontrolled Resource Consumption (CVE-2023-44487)/súlyos;
- Exposure of Sensitive Information to an Unauthorized Actor (CVE-2023-45143)/alacsony;
- Covert Timing Channel (CVE-2023-46809)/súlyos;
- Out-of-bounds Write (CVE-2023-47038)/súlyos;
- Heap-based Buffer Overflow (CVE-2023-47039)/súlyos;
- Improper Input Validation (CVE-2023-47100)/kritikus;
- Truncation of Security-relevant Information (CVE-2023-48795)/közepes;
- Improper Input Validation (CVE-2023-50387)/súlyos;
- Uncontrolled Resource Consumption (CVE-2023-50868)/súlyos;
- Integer Overflow or Wraparound (CVE-2023-52389)/kritikus;
- Use After Free (CVE-2024-0232)/közepes;
- Improper Input Validation (CVE-2024-0727)/közepes;
- Uncontrolled Resource Consumption (CVE-2024-2511)/alacsony;
- Use After Free (CVE-2024-4741)/súlyos;
- Exposure of Sensitive Information to an Unauthorized Actor (CVE-2024-5535)/közepes;
- Improper Authentication (CVE-2024-21890)/közepes;
- Path Traversal (CVE-2024-21891)/közepes;
- Code Injection (CVE-2024-21892)/súlyos;
- Path Traversal: 'dir/../../filename' (CVE-2024-21896)/súlyos;
- Execution with Unnecessary Privileges (CVE-2024-22017)/súlyos;
- Uncontrolled Resource Consumption (CVE-2024-22019)/súlyos;
- Uncontrolled Resource Consumption (CVE-2024-22025)/közepes;
- Exposure of Sensitive Information to an Unauthorized Actor (CVE-2024-24758)/alacsony;
- Server-Side Request Forgery (SSRF) (CVE-2024-24806)/súlyos;
- OS Command Injection (CVE-2024-27980)/súlyos;
- HTTP Request/Response Smuggling (CVE-2024-27982)/közepes;
- Uncontrolled Resource Consumption (CVE-2024-27983)/súlyos;
- Path Traversal (CVE-2024-46888)/kritikus;
- Use of Hard-coded Cryptographic Key (CVE-2024-46889)/közepes;
- OS Command Injection (CVE-2024-46890)/kritikus;
- Uncontrolled Resource Consumption (CVE-2024-46891)/közepes;
- Insufficient Session Expiration (CVE-2024-46892)/közepes;
- Exposure of Sensitive Information to an Unauthorized Actor (CVE-2024-46894)/közepes;
Javítás: Elérhető
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2024.11.12.
Gyártó: Siemens
Érintett rendszer(ek):
- Spectrum Power 7 minden, V24Q3-nál korábbi verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Incorrect Privilege Assignment (CVE-2024-29119)/súlyos;
Javítás: Elérhető
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2024.11.12.
Gyártó: Siemens
Érintett rendszer(ek):
- PP TeleControl Server Basic 8 to 32 V3.1 (6NH9910-0AA31-0AB1)minden, V3.1.2.1-nél korábbi verziója;
- PP TeleControl Server Basic 32 to 64 V3.1 (6NH9910-0AA31-0AF1)minden, V3.1.2.1-nél korábbi verziója;
- PP TeleControl Server Basic 64 to 256 V3.1 (6NH9910-0AA31-0AC1)minden, V3.1.2.1-nél korábbi verziója;
- PP TeleControl Server Basic 256 to 1000 V3.1 (6NH9910-0AA31-0AD1)minden, V3.1.2.1-nél korábbi verziója;
- PP TeleControl Server Basic 1000 to 5000 V3.1 (6NH9910-0AA31-0AE1)minden, V3.1.2.1-nél korábbi verziója;
- TeleControl Server Basic 8 V3.1 (6NH9910-0AA31-0AA0)minden, V3.1.2.1-nél korábbi verziója;
- TeleControl Server Basic 32 V3.1 (6NH9910-0AA31-0AF0)minden, V3.1.2.1-nél korábbi verziója;
- TeleControl Server Basic 64 V3.1 (6NH9910-0AA31-0AB0)minden, V3.1.2.1-nél korábbi verziója;
- TeleControl Server Basic 256 V3.1 (6NH9910-0AA31-0AC0)minden, V3.1.2.1-nél korábbi verziója;
- TeleControl Server Basic 1000 V3.1 (6NH9910-0AA31-0AD0)minden, V3.1.2.1-nél korábbi verziója;
- TeleControl Server Basic 5000 V3.1 (6NH9910-0AA31-0AE0)minden, V3.1.2.1-nél korábbi verziója;
- TeleControl Server Basic Serv Upgr (6NH9910-0AA31-0GA1)minden, V3.1.2.1-nél korábbi verziója;
- TeleControl Server Basic Upgr V3.1 (6NH9910-0AA31-0GA0)minden, V3.1.2.1-nél korábbi verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Deserialization of Untrusted Data (CVE-2024-44102)/kritikus;
Javítás: Elérhető
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2024.11.12.
Gyártó: Siemens
Érintett rendszer(ek):
- SIMATIC CP1543-1 V4.0 (6GK7543-1AX10-0XE0) verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Incorrect Authorization (CVE-2024-50310)/súlyos;
Javítás: Elérhető
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2024.11.12.
Gyártó: Siemens
Érintett rendszer(ek):
- Mendix Runtime V8-as verziója;
- Mendix Runtime V9-es verziója;
- Mendix Runtime V10-es verziója;
- Mendix Runtime V10.6-os verziója;
- Mendix Runtime V10.12-es verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Race Condition (CVE-2024-50313)/közepes;
Javítás: Részben elérhető.
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2024.11.12.
Gyártó: Siemens
Érintett rendszer(ek):
- Siveillance Video 2022 R1 minden, V22.1 HotfixRev16-nál korábbi verziója;
- Siveillance Video 2022 R2 minden, V22.2 HotfixRev16-nál korábbi verziója;
- Siveillance Video 2022 R3 minden, V22.3 HotfixRev15-nél korábbi verziója;
- Siveillance Video 2023 R1 minden, V23.1 HotfixRev14-nél korábbi verziója;
- Siveillance Video 2023 R2 minden, V23.2 HotfixRev13-nál korábbi verziója;
- Siveillance Video 2023 R3 minden, V23.3 HotfixRev11-nél korábbi verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Cleartext Transmission of Sensitive Information (CVE-2024-0056)/súlyos;
Javítás: Elérhető
Link a publikációhoz: Siemens ProductCERT

Bejelentés dátuma: 2024.11.14.
Gyártó: Rockwell Automation
Érintett rendszer(ek):
- Verve Asset Manager 1.39-es és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Dependency on Vulnerable Third-Party Component (CVE-2024-37287)/súlyos;
Javítás: Nincs, a gyártó kockázatcsökkentő intézkedések alkalmazását javasolja.
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-24-319-13

Bejelentés dátuma: 2024.11.14.
Gyártó: Rockwell Automation
Érintett rendszer(ek):
- FactoryTalk Updater - Web Client 4.00.00 verziója;
- FactoryTalk Updater - Client minden verziója;
- FactoryTalk Updater - Agent minden verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Insecure Storage of Sensitive Information (CVE-2024-10943)/kritikus;
- Improper Input Validation (CVE-2024-10944)/súlyos;
- Improperly Implemented Security Check for Standard (CVE-2024-10945)/súlyos;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-24-319-14

Bejelentés dátuma: 2024.11.14.
Gyártó: Rockwell Automation
Érintett rendszer(ek):
- Arena Input Analyzer v16.20.03-as és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Improper Validation of Specified Quantity in Input (CVE-2024-6068)/súlyos;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-24-319-15

Bejelentés dátuma: 2024.11.14.
Gyártó: Hitachi Energy
Érintett rendszer(ek):
- MSM 2.2.8-as és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Missing Release of Resource after Effective Lifetime (CVE-2024-2398)/súlyos;
- Infinite Loop (CVE-2019-5097)/súlyos;
Javítás: Nincs, a gyártó jelenleg is dolgozik rajta.
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-24-319-16

Bejelentés dátuma: 2024.11.14.
Gyártó: 2N
Érintett rendszer(ek):
- Access Commander 3.1.1.2-es és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Path Traversal (CVE-2024-47253)/súlyos;
- Insufficient Verification of Data Authenticity (CVE-2024-47254)/közepes;
- Insufficient Verification of Data Authenticity (CVE-2024-47255)/közepes;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-24-319-17

A fenti sérülékenységek negatív hatásainak csökkentése érdekében az ICS-CERT az alábbi kockázatcsökkentő intézkedések bevezetését javasolja:

- Minimálisra kell csökkenteni az ipari/egészségügyi rendszerek/hálózatok kapcsolatát az Internettel, az ilyen eszközök közvetlen Internetre történő csatlakoztatását kerülni kell;
- Az ipari/egészségügyi rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari/egészségügyi rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak;
- Amikor csak lehetséges el kell távolítani, le kell tiltani vagy meg kell változtatni az alapértelmezett felhasználói fiókok nevét és jelszavát;
- A nyers erőn (brute force) alapuló jelszótörések elleni védekezés jegyében felhasználói fiók-kizárási szabályokat célszerű alkalmazni;
- Erős jelszavak alkalmazását kikényszerítő szabályokat kell alkalmazni;
- Harmadik féltől származó alkalmazással célszerű monitorozni az adminisztrátori szintű jogosultságok kiadását;
- Az alapértelmezett beállításokat, amennyiben lehetséges, meg kell változtatni;
- A futó szolgáltatások hardening-jét célszerű elvégezni (csak azok a szolgáltatások fussanak, amik nélkülözhetetlenek);
- Biztonságos felhasználókezelési és hozzáférési szabályokat kell életbe léptetni;
- A megbízhatónak tartott firmware és szoftver-verziókból célszerű (valamilyen szinten tűzálló páncélszekrényben) elzárt fizikai példányokkal rendelkezni (lehetőleg egyszer írható adathordozón, pl. CD/DVD, stb.);
- Ismerni kell a normális működéshez tartozó hálózati forgalmat;
- Ki kell alakítani a biztonsági naplózás és naplóelemzés képességét és ezekre építve a megfelelő riasztási eljárásokat;
- Az új beállításokat labor körülmények között célszerű tesztelni, mielőtt az éles (és tartalék) rendszerekben alkalmaznák azokat.

Szólj hozzá!
Siemens 2N Schneider Electric Rockwell Automation ICS sérülékenység Siemens ProductCERT Hitachi Energy

Ajánlott bejegyzések:

A bejegyzés trackback címe:

https://icscybersec.blog.hu/api/trackback/id/tr3318734320

Kommentek:

A hozzászólások a vonatkozó jogszabályok  értelmében felhasználói tartalomnak minősülnek, értük a szolgáltatás technikai  üzemeltetője semmilyen felelősséget nem vállal, azokat nem ellenőrzi. Kifogás esetén forduljon a blog szerkesztőjéhez. Részletek a  Felhasználási feltételekben és az adatvédelmi tájékoztatóban.

Nincsenek hozzászólások.
süti beállítások módosítása