Bejelentés dátuma: 2025.05.13.
Gyártó: Phoenix Contact
Érintett rendszer(ek):
- Phoenix Contact AXL F BK EIP 1.30-as és korábbi verziói;
- Phoenix Contact AXL F BK EIP EF 1.30-as és korábbi verziói;
- Phoenix Contact AXL F BK EIP XC 1.30-as és korábbi verziói;
- Phoenix Contact AXL F BK ETH 1.31-es és korábbi verziói;
- Phoenix Contact AXL F BK ETH XC 1.31-es és korábbi verziói;
- Phoenix Contact AXL F BK PN (már nem támogatott) 1.06-os és korábbi verziói;
- Phoenix Contact AXL F BK PN TPS 1.33-as és korábbi verziói;
- Phoenix Contact AXL F BK PN TPS XC 1.33-as és korábbi verziói;
- Phoenix Contact AXL F BK PN XC (már nem támogatott) 1.06-os és korábbi verziói;
- Phoenix Contact AXL F BK SAS (már nem támogatott) 1.35-ös és korábbi verziói;
- Phoenix Contact IL EIP BK DI8 DO4 2TX-PAC 1.12-es és korábbi verziói;
- Phoenix Contact IL ETH BK DI8 DO4 2TX-PAC 1.42-es és korábbi verziói;
- Phoenix Contact IL ETH BK-PAC 1.00 és korábbi verziói;
- Phoenix Contact IL PN BK-PAC 1.13-as és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Allocation of Resources Without Limits or Throttling (CVE-2025-2813)/súlyos;
Javítás: Részben elérhető.
Link a publikációhoz: https://certvde.com/en/advisories/VDE-2025-029/

Bejelentés dátuma: 2025.05.20.
Gyártó: AutomationDirect
Érintett rendszer(ek):
- MB-Gateway minden verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Missing Authentication For Critical Function (CVE-2025-36535)/kritikus;
Javítás: Nincs, az eszköz hardveres limitációi miatt nem várható megfelelő hozzáférés-vezérlés az MB-Gateway-ekhez.
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-25-140-09

Bejelentés dátuma: 2025.05.20.
Gyártó: Vertiv
Érintett rendszer(ek):
- Liebert RDU101 1.9.0.0 és korábbi verziói;
- Liebert IS-UNITY 8.4.1.0 és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Authentication Bypass Using an Alternate Path or Channel (CVE-2025-46412)/kritikus;
- Stack-based Buffer Overflow (CVE-2025-41426)/kritikus;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-25-140-10

Bejelentés dátuma: 2025.05.20.
Gyártó: Assured Telematics Inc.
Érintett rendszer(ek):
- Fleet Management System 2025. február 6-ánál korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Exposure of Sensitive System Information to an Unauthorized Control Sphere (CVE-2025-4364)/súlyos;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-25-140-11

Bejelentés dátuma: 2025.05.22.
Gyártó: Lantronix
Érintett rendszer(ek):
- Device Installer 4.4.0.7-es és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Improper Restriction of XML External Entity Reference (CVE-2025-4338)/közepes;
Javítás: Nincs, az érintett termék 2018-ban elérhető életciklusa végét.
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-25-142-01

Bejelentés dátuma: 2025.05.22.
Gyártó: Rockwell Automation
Érintett rendszer(ek):
- 95057C-FTHTWXCT11 v4.02.00 és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Improper Restriction of XML External Entity Reference (CVE-2018-1285)/kritikus;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-25-142-02

Bejelentés dátuma: 2025.05.27.
Gyártó: Johnson Controls
Érintett rendszer(ek):
- ICU minden, 6.9.5-nél korábbi verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Use of Uninitialized Variable (CVE-2025-26383)/súlyos;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-25-146-01

Bejelentés dátuma: 2025.05.29.
Gyártó: Consilium Safety
Érintett rendszer(ek):
- CS5000 Fire Panel minden verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Initialization of a Resource with an Insecure Default (CVE-2025-41438)/kritikus;
- Use of Hard-coded Credentials (CVE-2025-46352)/kritikus;
Javítás: Nincs
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-25-148-03

Bejelentés dátuma: 2025.05.29.
Gyártó: Instantel
Érintett rendszer(ek):
- Micromate minden verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Missing Authentication for Critical Function (CVE-2025-1907)/kritikus;
Javítás: A gyártó jelenleg is dolgozik a hiba javításán.
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-25-148-04

Bejelentés dátuma: 2025.06.02.
Gyártó: Moxa
Érintett rendszer(ek):
- ICS-G7848A sorozatú eszközök 5.10-es és korábbi firmware-verziói;
- ICS-G7850A sorozatú eszközök 5.10-es és korábbi firmware-verziói;
- ICS-G7852A sorozatú eszközök 5.10-es és korábbi firmware-verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Uncontrolled Resource Consumption (CVE-2002-20001)/súlyos;
Javítás: A Moxa Technical Support-nál elérhető.
Link a publikációhoz: Moxa

Bejelentés dátuma: 2025.06.03.
Gyártó: Schneider Electric
Érintett rendszer(ek):
- Wiser AvatarOn 6K Freelocate minden verziója;
- Wiser Cuadro H 5P Socket minden verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Classic Buffer Overflow (CVE-2023-4041)/kritikus;
Javítás: Nincs, az érintett rendszerek elérték életciklusuk végét.
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-25-153-01

Bejelentés dátuma: 2025.06.03.
Gyártó: Mitsubishi Electric
Érintett rendszer(ek):
- FX5U-xMy/z x=32, 64, 80, y=T, R, z=ES,DS, ESS, DSS minden verziója;
- FX5UC-xMy/z x=32, 64, 96, y=T, z=D, DSS minden verziója;
- FX5UC-32MT/DS-TS, FX5UC-32MT/DSS-TS, FX5UC-32MR/DS-TS minden verziója;
- FX5UJ-xMy/z x=24, 40, 60, y=T, R, z=ES,DS,ESS,DSS minden verziója;
- FX5UJ-xMy/ES-A[Note *1] x=24, 40, 60, y=T, R minden verziója;
- FX5S-xMy/z x=30, 40, 60, 80[Note *1], y=T, R, z= ES,DS,ESS,DSS minden verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Improper Validation of Specified Index, Position, or Offset in Input (CVE-2025-3755)/kritikus;
Javítás: Nincs, a gyártó kockázatcsökkentő intézkedések alkalmazását javasolja.
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-25-153-03

Bejelentés dátuma: 2025.06.04.
Gyártó: ABB
Érintett rendszer(ek):
- EIBPORT LAN gateway 3.9.8-as és korábbi verziói;
- EIBPORT LAN gateway + GSM 3.9.8-as és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Session-Management Failure (CVE-2024-13967)/súlyos;
Javítás: Elérhető
Link a publikációhoz: ABB

Bejelentés dátuma: 2025.06.05.
Gyártó: CyberData
Érintett rendszer(ek):
- 011209 SIP Emergency Intercom 22.0.1-nél korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Authentication Bypass Using an Alternate Path or Channel (CVE-2025-30184)/kritikus;
- Missing Authentication for Critical Function (CVE-2025-26468)/súlyos;
- SQL Injection (CVE-2025-30507)/közepes;
- Insufficiently Protected Credentials (CVE-2025-30183)/súlyos;
- Path Traversal (CVE-2025-30515)/kritikus;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-25-155-01

Bejelentés dátuma: 2025.06.05.
Gyártó: Hitachi Energy
Érintett rendszer(ek):
- Relion 670/650/SAM600-IO sorozatú eszközök 2.2.5-ös verziójának 2.2.5.1-nél korábbi revíziói;
- Relion 670/650 sorozatú eszközök 2.2.4-es verziójának 2.2.4.2-nél korábbi revíziói;
- Relion 670 sorozatú eszközök 2.2.3-as verziójának 2.2.3.4-nél korábbi revíziói;
- Relion 670 sorozatú eszközök 2.2.2-es verziójának 2.2.2.4-nél korábbi revíziói;
- Relion 670/650/SAM600-IO sorozatú eszközök 2.2.1-es verziójának 2.2.1.7-nél korábbi revíziói;
- Relion 670/650 sorozatú eszközök 2.2.0 minden verziója;
- Relion 670/650 sorozatú eszközök 2.1 minden verziója;
- Relion 670 sorozatú eszközök 2.0 minden verziója;
- Relion 670 sorozatú eszközök 1.2 minden verziója;
- Relion 670 sorozatú eszközök 1.1 minden verziója;
- Relion 650 sorozatú eszközök 1.3 minden verziója;
- Relion 650 sorozatú eszközök 1.2 minden verziója;
- Relion 650 sorozatú eszközök 1.1 minden verziója;
- Relion 650 sorozatú eszközök 1.0 minden verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Integer Overflow or Wraparound (CVE-2020-28895)/súlyos;
- Integer Overflow or Wraparound (CVE-2020-35198)/kritikus;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-25-155-02

A fenti sérülékenységekkel kapcsolatban az ICS-CERT az alábbi kockázatcsökkentő intézkedések fontosságát hangsúlyozza:

- Minimálisra kell csökkenteni az ipari/egészségügyi rendszerek/hálózatok kapcsolatát az Internettel, az ilyen eszközök közvetlen Internetre történő csatlakoztatását kerülni kell;
- Az ipari/egészségügyi rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari/egészségügyi rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak;
- Amikor csak lehetséges el kell távolítani, le kell tiltani vagy meg kell változtatni az alapértelmezett felhasználói fiókok nevét és jelszavát;
- A nyers erőn (brute force) alapuló jelszótörések elleni védekezés jegyében felhasználói fiók-kizárási szabályokat célszerű alkalmazni;
- Erős jelszavak alkalmazását kikényszerítő szabályokat kell alkalmazni;
- Harmadik féltől származó alkalmazással célszerű monitorozni az adminisztrátori szintű jogosultságok kiadását;
- Az alapértelmezett beállításokat, amennyiben lehetséges, meg kell változtatni;
- A futó szolgáltatások hardening-jét célszerű elvégezni (csak azok a szolgáltatások fussanak, amik nélkülözhetetlenek);
- Biztonságos felhasználókezelési és hozzáférési szabályokat kell életbe léptetni;
- A megbízhatónak tartott firmware és szoftver-verziókból célszerű (valamilyen szinten tűzálló páncélszekrényben) elzárt fizikai példányokkal rendelkezni (lehetőleg egyszer írható adathordozón, pl. CD/DVD, stb.);
- Ismerni kell a normális működéshez tartozó hálózati forgalmat;
- Ki kell alakítani a biztonsági naplózás és naplóelemzés képességét és ezekre építve a megfelelő riasztási eljárásokat;
- Az új beállításokat labor körülmények között célszerű tesztelni, mielőtt az éles (és tartalék) rendszerekben alkalmaznák azokat.