Ipari és folyamatirányítási informatikai rendszerek biztonságáról magyarul.

ICS Cyber Security blog

ICS Cyber Security blog

ICS sérülékenységek CDLXXII

Sérülékenységek ABB, Wago, Emerson, Schneider Electric, Siemens, Rockwell Automation, Delta Electronics, Advantech, KUNBUS rendszerekben és vasúti protokollokban

Facebook Tumblr Tweet Pinterest Tetszik
0
2025. július 16. - icscybersec

Bejelentés dátuma: 2025.06.26.
Gyártó: ABB
Érintett rendszer(ek):
- Lite Panel Pro 1.0.1-es és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Insufficient Session Expiration (CVE-2025-4407)/közepes;
Javítás: Elérhető
Link a publikációhoz: ABB

Bejelentés dátuma: 2025.07.07.
Gyártó: Wago
Érintett rendszer(ek):
- Wago Device Sphere 1.0.0 verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Initialization of a Resource with an Insecure Default (CVE-2025-41672)/kritikus;
Javítás: Elérhető
Link a publikációhoz: https://certvde.com/en/advisories/VDE-2025-057/

Bejelentés dátuma: 2025.07.08.
Gyártó: Emerson
Érintett rendszer(ek):
- ValveLink SOLO minden, ValveLink 14.0-nál korábbi verziója;
- ValveLink DTM minden, ValveLink 14.0-nál korábbi verziója;
- ValveLink PRM minden, ValveLink 14.0-nál korábbi verziója;
- ValveLink SNAP-ON minden, ValveLink 14.0-nál korábbi verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Cleartext Storage of Sensitive Information in Memory (CVE-2025-52579)/kritikus;
- Cleartext Storage of Sensitive Information in Memory (CVE-2025-50109)/súlyos;
- Protection Mechanism Failure (CVE-2025-46358)/súlyos;
- Uncontrolled Search Path Element (CVE-2025-48496)/közepes;
- Improper Input Validation (CVE-2025-53471)/közepes;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-25-189-01

Bejelentés dátuma: 2025.07.08.
Gyártó: Schneider Electric
Érintett rendszer(ek):
- EcoStruxure™ IT Data Center Expert Versions v8.3-as és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- OS Command Injection (CVE-2025-50121)/kritikus;
- Insufficient Entropy (CVE-2025-50122)/súlyos;
- Code Injection (CVE-2025-50123)/súlyos;
- Server-Side Request Forgery (SSRF) (CVE-2025-50125)/súlyos;
- Improper Privilege Management (CVE-2025-50124)/közepes;
- Improper Restriction of XML External Entity Reference (CVE-2025-6438)/közepes;
Javítás: Elérhető
Link a publikációhoz: Schneider Electric

Bejelentés dátuma: 2025.07.08.
Gyártó: Schneider Electric
Érintett rendszer(ek):
- EcoStruxure™ Power Operation (EPO) 2022 CU6 és korábbi verziói;
- EcoStruxure™ Power Operation (EPO) 2024 CU1 és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Code Execution (CVE-2023-50447)/súlyos;
- Buffer Overflow (CVE-2024-28219)/közepes;
- Data Amplification (CVE-2022-45198)/súlyos;
- Heap-based Buffer Overflow (CVE-2023-5217)/súlyos;
- PostgreSQL vulnerability (CVE-2023-35945)/n/a;
- Denial-of-Service (server resource consumption) (CVE-2023-44487)/súlyos;
Javítás: Részben elérhető.
Link a publikációhoz: Schneider Electric

Bejelentés dátuma: 2025.07.08.
Gyártó: Schneider Electric
Érintett rendszer(ek):
- EcoStruxure™ Power Monitoring Expert (PME) 2023 verziója;
- EcoStruxure™ Power Monitoring Expert (PME) 2023 R2 verziója;
- EcoStruxure™ Power Monitoring Expert (PME) 2024 verziója;
- EcoStruxure™ Power Monitoring Expert (PME) 2024 R2 verziója;
- EcoStruxure™ Power Operation (EPO) Advanced Reporting and Dashboards Module Advanced Reporting Module-lal használt 2022-es verziója;
- EcoStruxure™ Power Operation (EPO) Advanced Reporting and Dashboards Module Advanced Reporting Module-lal használt 2024-es verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Exposure of Resource to Wrong Sphere (CVE-2025-6788)/közepes;
Javítás: Elérhető
Link a publikációhoz: Schneider Electric

Bejelentés dátuma: 2025.07.08.
Gyártó: Siemens
Érintett rendszer(ek):
- Solid Edge SE2025 minden, V225.0 Update 5-nél korábbi verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Out-of-bounds Read (CVE-2025-40739)/súlyos;
- Out-of-bounds Read (CVE-2025-40740)/súlyos;
- Stack-based Buffer Overflow (CVE-2025-40741)/súlyos;
Javítás: Részben elérhető.
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2025.07.08.
Gyártó: Siemens
Érintett rendszer(ek):
- TIA Administrator minden, V3.0.6-nál korábbi verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Improper Verification of Cryptographic Signature (CVE-2025-23364)/közepes;
- Improper Access Control (CVE-2025-23365)/súlyos;
Javítás: Elérhető
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2025.07.08.
Gyártó: Siemens
Érintett rendszer(ek):
- SIMATIC CN 4100 minden, V4.0-nál korábbi verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Improper Input Validation (CVE-2025-40593)/közepes;
Javítás: Elérhető
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2025.07.08.
Gyártó: Siemens
Érintett rendszer(ek):
- Siemens SINEC NMS minden, V4.0-nál korábbi verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- SQL Injection (CVE-2025-40735)/súlyos;
- Missing Authentication for Critical Function (CVE-2025-40736)/kritikus;
- Path Traversal (CVE-2025-40737)/súlyos;
- Path Traversal (CVE-2025-40738)/súlyos;
Javítás: Elérhető
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2025.07.08.
Gyártó: Siemens
Érintett rendszer(ek):
- TIA Project-Server V2.1.1-nél korábbi verziói;
- TIA Project-Server V17 minden verziója;
- Totally Integrated Automation Portal (TIA Portal) V17 minden verziója;
- Totally Integrated Automation Portal (TIA Portal) V18 minden verziója;
- Totally Integrated Automation Portal (TIA Portal) V19 minden verziója;
- Totally Integrated Automation Portal (TIA Portal) V20 minden, V20 Update 3-nál korábbi verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Unrestricted Upload of File with Dangerous Type (CVE-2025-27127)/közepes;
Javítás: Részben elérhető.
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2025.07.08.
Gyártó: Siemens
Érintett rendszer(ek):
- SIPROTEC 5 6MD84 (CP300) minden verziója;
- SIPROTEC 5 7SA86 (CP300) minden verziója;
- SIPROTEC 5 7SA87 (CP300) minden verziója;
- SIPROTEC 5 7SD82 (CP100) minden verziója;
- SIPROTEC 5 7SD82 (CP150) minden verziója;
- SIPROTEC 5 7SD86 (CP300) minden verziója;
- SIPROTEC 5 7SD87 (CP300) minden verziója;
- SIPROTEC 5 7SJ81 (CP100) minden verziója;
- SIPROTEC 5 7SJ81 (CP150) minden verziója;
- SIPROTEC 5 7SJ82 (CP100) minden verziója;
- SIPROTEC 5 7SJ82 (CP150) minden verziója;
- SIPROTEC 5 6MD85 (CP300) minden verziója;
- SIPROTEC 5 7SJ85 (CP300) minden verziója;
- SIPROTEC 5 7SJ86 (CP300) minden verziója;
- SIPROTEC 5 7SK82 (CP100) minden verziója;
- SIPROTEC 5 7SK82 (CP150) minden verziója;
- SIPROTEC 5 7SK85 (CP300) minden verziója;
- SIPROTEC 5 7SL82 (CP100) minden verziója;
- SIPROTEC 5 7SL82 (CP150) minden verziója;
- SIPROTEC 5 7SL86 (CP300) minden verziója;
- SIPROTEC 5 7SL87 (CP300) minden verziója;
- SIPROTEC 5 7SS85 (CP300) minden verziója;
- SIPROTEC 5 6MD86 (CP300) minden verziója;
- SIPROTEC 5 7ST85 (CP300) minden verziója;
- SIPROTEC 5 7ST86 (CP300) minden verziója;
- SIPROTEC 5 7SX82 (CP150) minden verziója;
- SIPROTEC 5 7SX85 (CP300) minden verziója;
- SIPROTEC 5 7SY82 (CP150) minden verziója;
- SIPROTEC 5 7UM85 (CP300) minden verziója;
- SIPROTEC 5 7UT82 (CP100) minden verziója;
- SIPROTEC 5 7UT82 (CP150) minden verziója;
- SIPROTEC 5 7UT85 (CP300) minden verziója;
- SIPROTEC 5 7UT86 (CP300) minden verziója;
- SIPROTEC 5 6MD89 (CP300) minden verziója;
- SIPROTEC 5 7UT87 (CP300) minden verziója;
- SIPROTEC 5 7VE85 (CP300) minden verziója;
- SIPROTEC 5 7VK87 (CP300) minden verziója;
- SIPROTEC 5 7VU85 (CP300) minden verziója;
- SIPROTEC 5 Compact 7SX800 (CP050) minden verziója;
- SIPROTEC 5 6MD89 (CP300) V9.6 minden verziója;
- SIPROTEC 5 6MU85 (CP300) minden verziója;
- SIPROTEC 5 7KE85 (CP300) minden verziója;
- SIPROTEC 5 7SA82 (CP100) minden verziója;
- SIPROTEC 5 7SA82 (CP150) minden verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Use of GET Request Method With Sensitive Query Strings (CVE-2025-40742)/közepes;
Javítás: A gyártó jelenleg is dolgozik a hiba javításán.
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2025.07.08.
Gyártó: Siemens
Érintett rendszer(ek):
- Desigo CC minden verziója;
- SENTRON powermanager minden verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Path Equivalence: 'file.name' (Internal Dot) (CVE-2025-24813)/kritikus;
Javítás:
Link a publikációhoz: Siemens ProductCERT

Bejelentés dátuma: 2025.07.08.
Gyártó: Siemens
Érintett rendszer(ek):
- SICAM TOOLBOX II minden, V07.11-nél korábbi verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Improper Certificate Validation (CVE-2024-31853)/súlyos;
- Improper Certificate Validation (CVE-2024-31854)/súlyos;
Javítás: Elérhető
Link a publikációhoz: Siemens ProductCERT

Bejelentés dátuma: 2025.07.08.
Gyártó: Siemens
Érintett rendszer(ek):
- RUGGEDCOM ROS V4.X termékcsalád;
- RUGGEDCOM ROS V5.X termékcsalád;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Use of a Broken or Risky Cryptographic Algorithm (CVE-2023-52236)/súlyos;
- Improper Handling of Exceptional Conditions (CVE-2025-41222)/közepes;
- Use of a Broken or Risky Cryptographic Algorithm (CVE-2025-41223)/közepes;
- Protection Mechanism Failure (CVE-2025-41224)/súlyos;
Javítás: Részben elérhető.
Link a publikációhoz: Siemens ProductCERT

Bejelentés dátuma: 2025.07.08.
Gyártó: Rockwell Automation
Érintett rendszer(ek):
- Software-Arena® 16.20.08-as és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Remote Code Execution (CVE-2025-6376)/súlyos;
- Remote Code Execution (CVE-2025-6377)/súlyos;
Javítás: Elérhető
Link a publikációhoz: Rockwell Automation

Bejelentés dátuma: 2025.07.10.
Gyártó: Delta Electronics
Érintett rendszer(ek):
- DTM Soft 1.6.0.0 és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Deserialization of Untrusted Data (CVE-2025-53415)/súlyos;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-25-191-07

Bejelentés dátuma: 2025.07.10.
Gyártó: Advantech
Érintett rendszer(ek):
- iView 5.7.05 build 7057-nél korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Cross-site Scripting (CVE-2025-53397)/közepes;
- Cross-site Scripting (CVE-2025-53519)/közepes;
- Cross-site Scripting (CVE-2025-41442)/közepes;
- SQL Injection (CVE-2025-48891)/súlyos;
- Path Traversal (CVE-2025-46704)/közepes;
- SQL Injection (CVE-2025-53475)/súlyos;
- SQL Injection (CVE-2025-52577)/súlyos;
- SQL Injection (CVE-2025-53515)/súlyos;
- Argument Injection (CVE-2025-52459)/közepes;
- Argument Injection (CVE-2025-53509)/közepes;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-25-191-08

Bejelentés dátuma: 2025.07.10.
Gyártó: KUNBUS
Érintett rendszer(ek):
- Revolution Pi Webstatus 2.4.5-ös és korábbi verziói;
- Revolution Pi OS Bullseye 04/2024-es verziója;
- Revolution Pi OS Bullseye 09/2023-as verziója;
- Revolution Pi OS Bullseye 07/2023-as verziója;
- Revolution Pi OS Bullseye 06/2023-as verziója;
- Revolution Pi OS Bullseye 02/2024-es verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Incorrect Implementation of Authentication Algorithm (CVE-2025-41646)/kritikus;
Javítás: Részben elérhető.
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-25-191-09

Bejelentés dátuma: 2025.07.10.
Gyártó: End-of-Train and Head-of-Train remote linking protocol
Érintett rendszer(ek):
- Az End-of-Train and Head-of-Train remote linking protokoll minden verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Weak Authentication (CVE-2025-1727)/súlyos;
Javítás: Jelenleg nem elérhető.
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-25-191-10

A fenti sérülékenységek negatív hatásainak csökkentése érdekében az ICS-CERT az alábbi kockázatcsökkentő intézkedések bevezetését javasolja:

- Minimálisra kell csökkenteni az ipari/egészségügyi rendszerek/hálózatok kapcsolatát az Internettel, az ilyen eszközök közvetlen Internetre történő csatlakoztatását kerülni kell;
- Az ipari/egészségügyi rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari/egészségügyi rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak;
- Amikor csak lehetséges el kell távolítani, le kell tiltani vagy meg kell változtatni az alapértelmezett felhasználói fiókok nevét és jelszavát;
- A nyers erőn (brute force) alapuló jelszótörések elleni védekezés jegyében felhasználói fiók-kizárási szabályokat célszerű alkalmazni;
- Erős jelszavak alkalmazását kikényszerítő szabályokat kell alkalmazni;
- Harmadik féltől származó alkalmazással célszerű monitorozni az adminisztrátori szintű jogosultságok kiadását;
- Az alapértelmezett beállításokat, amennyiben lehetséges, meg kell változtatni;
- A futó szolgáltatások hardening-jét célszerű elvégezni (csak azok a szolgáltatások fussanak, amik nélkülözhetetlenek);
- Biztonságos felhasználókezelési és hozzáférési szabályokat kell életbe léptetni;
- A megbízhatónak tartott firmware és szoftver-verziókból célszerű (valamilyen szinten tűzálló páncélszekrényben) elzárt fizikai példányokkal rendelkezni (lehetőleg egyszer írható adathordozón, pl. CD/DVD, stb.);
- Ismerni kell a normális működéshez tartozó hálózati forgalmat;
- Ki kell alakítani a biztonsági naplózás és naplóelemzés képességét és ezekre építve a megfelelő riasztási eljárásokat;
- Az új beállításokat labor körülmények között célszerű tesztelni, mielőtt az éles (és tartalék) rendszerekben alkalmaznák azokat.

Szólj hozzá!
Siemens ABB Emerson Schneider Electric Advantech Rockwell Automation ICS sérülékenység Siemens ProductCERT Delta Electronics WAGO KUNBUS vasúti protokollok

Ajánlott bejegyzések:

A bejegyzés trackback címe:

https://icscybersec.blog.hu/api/trackback/id/tr6018908566

Kommentek:

A hozzászólások a vonatkozó jogszabályok  értelmében felhasználói tartalomnak minősülnek, értük a szolgáltatás technikai  üzemeltetője semmilyen felelősséget nem vállal, azokat nem ellenőrzi. Kifogás esetén forduljon a blog szerkesztőjéhez. Részletek a  Felhasználási feltételekben és az adatvédelmi tájékoztatóban.

Nincsenek hozzászólások.
süti beállítások módosítása