Ipari és folyamatirányítási informatikai rendszerek biztonságáról magyarul.

ICS Cyber Security blog

ICS Cyber Security blog

ICS sérülékenységek DXI

Sérülékenységek ABB, Johnson Controls, 3onedata, Schneider Electric, CODESYS és Subnet Solutions rendszerekben

Facebook Tumblr Tweet Pinterest Tetszik
0
2026. május 20. - icscybersec

Bejelentés dátuma: 2026.05.04.
Gyártó: 3onedata
Érintett rendszer(ek):
- GW1101-1D(RS-485)-TB-P gateway minden, 3.0.59B202408060R4353-nál korábbi verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Shell command injection (CVE-2025-13605)/kritikus;
Javítás: Elérhető
Link a publikációhoz: https://cert.pl/posts/2026/05/CVE-2025-13605/

Bejelentés dátuma: 2026.05.12.
Gyártó: Schneider Electric
Érintett rendszer(ek):
- Ecostruxure™ Machine Expert HVAC 1.10.0-nál korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Cleartext Storage of Sensitive Information (CVE-2026-6332)/közepes;
Javítás: Elérhető
Link a publikációhoz: Schneider Electric

Bejelentés dátuma: 2026.05.12.
Gyártó: Schneider Electric
Érintett rendszer(ek):
- Easergy MiCOM C264 D6.x minden verziója,
- Easergy MiCOM C264 D7.33-as és korábbi verziói;
- Easergy C5 1.1.17-es és korábbi verziói;
- Easergy MiCOM P30 eszközök Advanced Cyber Security modullal vagy funkcióval működő példányai közül:
- Easergy MiCOM P139 P139.678.700-nál korábbi verziói;
- Easergy MiCOM P437 P437.678.700-nál korábbi verziói;
- Easergy MiCOM P439 P439.678.700-nál korábbi verziói;
- Easergy MiCOM P532 P532.678.700-nál korábbi verziói;
- Easergy MiCOM P539 P539.678.700-nál korábbi verziói;
- Easergy MiCOM P631 P631.678.700-nál korábbi verziói;
- Easergy MiCOM P632 P632.678.700-nál korábbi verziói;
- Easergy MiCOM P633 P633.678.700-nál korábbi verziói;
- Easergy MiCOM P634 P634.678.700-nál korábbi verziói;
- Easergy MiCOM P633 P633.680.700-as verziója;
- Easergy MiCOM P634 P634.680.700-as verziója;
- Easergy MiCOM P138 P138.677.700-nál korábbi verziói;
- Easergy MiCOM P436 P436.677.701-nél korábbi verziói;
- Easergy MiCOM P438 P438.677.701-nél korábbi verziói;
- Easergy MiCOM P638 P638.677.700-nál korábbi verziói;
- Easergy MiCOM C434 C434.679.700-nál korábbi verziói;
- Easergy MiCOM P40-es sorozatú modellek firmware-verziói (részletek a gyártói bejelentésben találhatóak);
- EcoStruxure™ Power Automation System Gateway
- (EPAS-GTW) 6.4.616.200.100-as és korábbi verziói;
- EcoStruxure Power Automation System User
- Interface (EPAS-UI) 3.0.3 és korábbi verziói;
- EcoStruxure™ Power Operation 2022 CU6-os és korábbi verziói;
- EcoStruxure™ Power Operation 2024 CU2-es és korábbi verziói;
- iPMFLS 64.2025.0.13-as és korábbi verziói;
- PowerLogic™ P5 Protection Relay V02.502.103-as és korábbi verziói;
- PowerLogic™ P7 Protection and Control Platform V02.002.002-es és korábbi verziói;
- PowerLogic™ T300 2.9.4-es és korábbi verziói;
- PowerLogic™ T500 11.08.02-es és korábbi verziói;
- Saitel DP 11.06.36-os és korábbi verziói;
- EasyLogic T150 (korábbi nevén Saitel DR) 11.06.30 és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Insufficient Entropy (CVE-2026-4827)/súlyos;
Javítás: Elérhető
Link a publikációhoz: Schneider Electric

Bejelentés dátuma: 2026.05.12.
Gyártó: Schneider Electric
Érintett rendszer(ek):
- EcoStruxure™ Panel Server PAS400, PAS600, PAS600V2, PAS800 és PAS800V2 modelljeinek 002.005.000 és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Initialization of a Resource with an Insecure Default (CVE-2026-6866)/súlyos;
Javítás: Elérhető
Link a publikációhoz: Schneider Electric

Bejelentés dátuma: 2026.05.12.
Gyártó: CODESYS
Érintett rendszer(ek):
- CODESYS Modbus 4.6.0.0-nál korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Missing Release of Resource after Effective Lifetime (CVE-2026-35227)/közepes;
Javítás: Elérhető
Link a publikációhoz: https://certvde.com/en/advisories/VDE-2026-042/

Bejelentés dátuma: 2026.04.30.
Gyártó: ABB
Érintett rendszer(ek):
- ABB PCM600 1.5-ös és újabb verziói, a 2.13-mal bezárólag;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Path Traversal (CVE-2018-1002208)/közepes;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-26-120-02

Bejelentés dátuma: 2026.04.30.
Gyártó: ABB
Érintett rendszer(ek):
- ABB Ability Symphony Plus S+ Engineering 2.2-es verziója;
- ABB Ability Symphony Plus S+ Engineering 2.3-as verziója;
- ABB Ability Symphony Plus S+ Engineering 2.3 RU1-es verziója;
- ABB Ability Symphony Plus S+ Engineering 2.3 RU2-es verziója;
- ABB Ability Symphony Plus S+ Engineering 2.3 RU3-as verziója;
- ABB Ability Symphony Plus S+ Engineering 2.4-es verziója;
- ABB Ability Symphony Plus S+ Engineering 2.4 SP1-es verziója;
- ABB Ability Symphony Plus S+ Engineering 2.4 SP2-es verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Integer Overflow or Wraparound (CVE-2023-5869)/súlyos;
- SQL Injection (CVE-2023-39417)/súlyos;
Javítás: Részben elérhető.
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-26-120-06

Bejelentés dátuma: 2026.04.30.
Gyártó: ABB
Érintett rendszer(ek):
- ABB Edgenius Management Portal 3.2.0.0 és 3.2.1.1-es verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Authentication Bypass Using an Alternate Path or Channel (CVE-2025-10571)/kritikus;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-26-120-03

Bejelentés dátuma: 2026.04.30.
Gyártó: ABB
Érintett rendszer(ek):
- ABB AWIN GW100 rev.2 2.0-0-ra telepített ABB AWIN (2.0-0) firmware-verzió;
- ABB AWIN GW100 rev.2 2.0-1-re telepített ABB AWIN (2.0-1) firmware-verzió;
- ABB AWIN GW120 1.2-0-ra telepített ABB AWIN (1.2-0) firmware-verzió;
- ABB AWIN GW120 1.2-1-re telepített ABB AWIN (1.2-1) firmware-verzió;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Authentication Bypass by Capture-replay (CVE-2025-13777)/súlyos;
- Missing Authentication for Critical Function (CVE-2025-13778)/közepes;
- Missing Authentication for Critical Function (CVE-2025-13779)/súlyos;
Javítás: Részben elérhető.
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-26-120-05

Bejelentés dátuma: 2026.04.30.
Gyártó: ABB
Érintett rendszer(ek):
- ABB Ability OPTIMAX 6.1 minden verziója;
- ABB Ability OPTIMAX 6.2 minden verziója;
- ABB Ability OPTIMAX 6.3 6.3.1-251120-nál korábbi verziói;
- ABB Ability OPTIMAX 6.4 6.4.1-251120-nál korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Incorrect Implementation of Authentication Algorithm (CVE-2025-14510)/súlyos;
Javítás: Részben elérhető.
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-26-120-04

Bejelentés dátuma: 2026.05.05.
Gyártó: Johnson Controls
Érintett rendszer(ek):
- CEM AC2000 12.0 verziója;
- CEM AC2000 11.0 verziója;
- CEM AC2000 10.6-os verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Uncontrolled Search Path Element (CVE-2026-21661)/
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-26-125-05

Bejelentés dátuma: 2026.05.05.
Gyártó: ABB
Érintett rendszer(ek):
- ABB Automation Runtime 6.5-nél korábbi verziói;
- ABB Automation Runtime R4.93-nál korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Allocation of Resources Without Limits or Throttling (CVE-2025-11044)/közepes;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-26-125-03

Bejelentés dátuma: 2026.05.05.
Gyártó: ABB
Érintett rendszer(ek):
- Automation Studio 6.5-ös és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Improper Certificate Validation (CVE-2025-11043)/súlyos;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-26-125-04

Bejelentés dátuma: 2026.05.05.
Gyártó: ABB
Érintett rendszer(ek):
- ABB B&R PVI 6.5.0 és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Insertion of Sensitive Information into Log File (CVE-2026-0936)/közepes;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-26-125-02

Bejelentés dátuma: 2026.05.07.
Gyártó: MAXHUB
Érintett rendszer(ek):
- MAXHUB Pivot kliens alkalmazás v1.36.2-esnél korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Use of a Broken or Risky Cryptographic Algorithm (CVE-2026-6411)/súlyos;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-26-127-01

Bejelentés dátuma: 2026.05.12.
Gyártó: Subnet Solutions
Érintett rendszer(ek):
- PowerSYSTEM Center 2020 5.28.x és korábbi verziói;
- PowerSYSTEM Center 2020 5.8.x-nél újabb verziói, az 5.28.x-el bezárólag;
- PowerSYSTEM Center 2020 5.11.x-nél újabb verziói, az 5.28.x-el bezárólag;
- PowerSYSTEM Center 2024 6.0.x-nél újabb verziói, az 6.1.x-el bezárólag;
- PowerSYSTEM Center 2026 7.0.x verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Incorrect Authorization (CVE-2026-26289)/súlyos;
- Incorrect Authorization (CVE-2026-33570)/közepes;
- Incorrect Authorization (CVE-2026-33555)/közepes;
- CRLF Injection (CVE-2026-35504)/közepes;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-26-132-02

Bejelentés dátuma: 2026.05.12.
Gyártó: ABB
Érintett rendszer(ek):
- ABB AC500 V3 PM5xxx 3.9.0 firmware-verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Out-of-bounds Write (CVE-2025-15467)/kritikus;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-26-132-05

A fenti sérülékenységek negatív hatásainak csökkentése érdekében az ICS-CERT az alábbi kockázatcsökkentő intézkedések bevezetését javasolja:

- Minimálisra kell csökkenteni az ipari/egészségügyi rendszerek/hálózatok kapcsolatát az Internettel, az ilyen eszközök közvetlen Internetre történő csatlakoztatását kerülni kell;
- Az ipari/egészségügyi rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari/egészségügyi rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak;
- Amikor csak lehetséges el kell távolítani, le kell tiltani vagy meg kell változtatni az alapértelmezett felhasználói fiókok nevét és jelszavát;
- A nyers erőn (brute force) alapuló jelszótörések elleni védekezés jegyében felhasználói fiók-kizárási szabályokat célszerű alkalmazni;
- Erős jelszavak alkalmazását kikényszerítő szabályokat kell alkalmazni;
- Harmadik féltől származó alkalmazással célszerű monitorozni az adminisztrátori szintű jogosultságok kiadását;
- Az alapértelmezett beállításokat, amennyiben lehetséges, meg kell változtatni;
- A futó szolgáltatások hardening-jét célszerű elvégezni (csak azok a szolgáltatások fussanak, amik nélkülözhetetlenek);
- Biztonságos felhasználókezelési és hozzáférési szabályokat kell életbe léptetni;
- A megbízhatónak tartott firmware és szoftver-verziókból célszerű (valamilyen szinten tűzálló páncélszekrényben) elzárt fizikai példányokkal rendelkezni (lehetőleg egyszer írható adathordozón, pl. CD/DVD, stb.);
- Ismerni kell a normális működéshez tartozó hálózati forgalmat;
- Ki kell alakítani a biztonsági naplózás és naplóelemzés képességét és ezekre építve a megfelelő riasztási eljárásokat;
- Az új beállításokat labor körülmények között célszerű tesztelni, mielőtt az éles (és tartalék) rendszerekben alkalmaznák azokat.

Szólj hozzá!
ABB Schneider Electric ICS sérülékenység CODESYS Johnson Controls SUBNET Solutions 3onedata

Ajánlott bejegyzések:

A bejegyzés trackback címe:

https://icscybersec.blog.hu/api/trackback/id/tr7519104409

Kommentek:

A hozzászólások a vonatkozó jogszabályok  értelmében felhasználói tartalomnak minősülnek, értük a szolgáltatás technikai  üzemeltetője semmilyen felelősséget nem vállal, azokat nem ellenőrzi. Kifogás esetén forduljon a blog szerkesztőjéhez. Részletek a  Felhasználási feltételekben és az adatvédelmi tájékoztatóban.

Nincsenek hozzászólások.
süti beállítások módosítása