Ipari és folyamatirányítási informatikai rendszerek biztonságáról magyarul.

ICS Cyber Security blog

ICS Cyber Security blog

ICS sérülékenységek DXXIX

Sérülékenységek Siemens, Bransys, Mitsubishi Electric, Lenze, lwIP, Autonomy Logic, Botslab, Eufy, Pepperl+Fuchs, Phoenix Contact és Carlo Gavazzi Automation rendszerekben

Facebook Tumblr Tweet Pinterest Tetszik
0
2026. szeptember 30. - icscybersec

Bejelentés dátuma: 2026.09.03.
Gyártó: Siemens
Érintett rendszer(ek):
- Mendix 10 kompatibilis Siemens Mendix SAML 4.2.3-nál korábbi verziói;
- Mendix 11 kompatibilis Siemens Mendix SAML 4.2.3-nál korábbi verziói;
- Mendix 9.24 kompatibilis Siemens Mendix SAML 3.6.27-nél korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Improper Verification of Cryptographic Signature (CVE-2026-80465)/súlyos;
Javítás: Elérhető
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2026.09.08.
Gyártó: Siemens
Érintett rendszer(ek):
- Siemens Reyrolle 7SR5 2.70-esnél korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Integer Overflow or Wraparound (CVE-2024-42384)/súlyos;
- Improper Neutralization of Delimiters (CVE-2024-42385)/közepes;
- Use of Out-of-range Pointer Offset (CVE-2024-42386)/súlyos;
- Use of Out-of-range Pointer Offset (CVE-2024-42391)/közepes;
- Improper Neutralization of Delimiters (CVE-2024-42392)/közepes;
- Missing Authentication for Critical Function (CVE-2026-62645)/kritikus;
- Insufficient Entropy (CVE-2026-62646)/súlyos;
- Improper Input Validation (CVE-2026-62647)/súlyos;
- Out-of-bounds Write (CVE-2026-62648)/súlyos;
- Allocation of Resources Without Limits or Throttling (CVE-2026-62649)/súlyos;
- Authentication Bypass Using an Alternate Path or Channel (CVE-2026-62650)/súlyos;
- Insertion of Sensitive Information Into Debugging Code (CVE-2026-62652)/közepes;
- Out-of-bounds Write (CVE-2026-62653)/közepes;
- Download of Code Without Integrity Check (CVE-2026-62654)/közepes;
Javítás: Elérhető
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2026.09.08.
Gyártó: Siemens
Érintett rendszer(ek):
- Siemens Teamcenter V2412 2412.0013-nál korábbi verziói;
- Siemens Teamcenter V2506 2506.0010-nél korábbi verziói;
- Siemens Teamcenter V2512 2512.2607-nél korábbi verziói;
- Siemens Teamcenter V2606 2606.2607-nél korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Cross-site Scripting (CVE-2026-58113)/közepes;
Javítás: Elérhető
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2026.09.08.
Gyártó: Siemens
Érintett rendszer(ek):
- Siemens SIMOVE Fleetmanager V3.1 vers:intdot/<3.1.13 (ismeretlen formátumú) verziója;
- Siemens SIMOVE Fleetmanager V3.2 vers:intdot/<3.2.4 (ismeretlen formátumú) verziója;
- Siemens SIMOVE Fleetmanager V3.3 vers:intdot/<3.3.2 (ismeretlen formátumú) verziója;
- Siemens SIMOVE Fleetmanager V4.0 vers:intdot/<4.0.1 (ismeretlen formátumú) verziója;
- Siemens SIPLANT V1.7 minden verziója (az összes kiadás érintett);
- Siemens SIPLANT V2.2 minden verziója (az összes kiadás érintett);
- Siemens SIPLANT V3.0 minden verziója (az összes kiadás érintett);
- Siemens SIPLANT V3.1 vers:intdot/<3.1.4 (ismeretlen formátumú) verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- CVE-2026-67367 (CVE-2026-67367)/súlyos;
Javítás: Elérhető
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2026.09.16.
Gyártó: Siemens
Érintett rendszer(ek):
- Siemens WTV676-HB6035 Web Interface 3.94-nél korábbi verziói;
- Siemens WTV776-HB6035 Web Interface 4.17-nél korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Improper Validation of Specified Type of Input (CVE-2026-89207)/közepes;
Javítás: Elérhető
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2026.09.16.
Gyártó: Pepperl+Fuchs
Érintett rendszer(ek):
- Pepperl+Fuchs ICE2-8IOL1-G65L-V1D ICE2-* 1.7.4-nél korábbi firmware-verziói);
- Pepperl+Fuchs ICE2-8IOL-G65L-V1D ICE2-* 1.7.4-nél korábbi firmware-verziói);
- Pepperl+Fuchs ICE2-8IOL-K45P-RJ45 ICE2-* 1.7.4-nél korábbi firmware-verziói);
- Pepperl+Fuchs ICE2-8IOL-K45S-RJ45 ICE2-* 1.7.4-nél korábbi firmware-verziói);
- Pepperl+Fuchs ICE3-8IOL1-G65L-V1D ICE3-* 1.7.4-nél korábbi firmware-verziói);
- Pepperl+Fuchs ICE3-8IOL-G65L-V1D ICE3-* 1.7.4-nél korábbi firmware-verziói);
- Pepperl+Fuchs ICE3-8IOL-G65L-V1D-Y ICE3-* 1.7.4-nél korábbi firmware-verziói);
- Pepperl+Fuchs ICE3-8IOL-K45P-RJ45 ICE3-* 1.7.4-nél korábbi firmware-verziói);
- Pepperl+Fuchs ICE3-8IOL-K45S-RJ45 ICE3-* 1.7.4-nél korábbi firmware-verziói);
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Authentication Bypass Using an Alternate Path or Channel (CVE-2026-27546)/kritikus;
- OS Command Injection (CVE-2026-27565)/kritikus;
- OS Command Injection (CVE-2026-27547)/súlyos;
- OS Command Injection (CVE-2026-27548)/súlyos;
- OS Command Injection (CVE-2026-27549)/súlyos;
- OS Command Injection (CVE-2026-27550)/súlyos;
- OS Command Injection (CVE-2026-27551)/súlyos;
- OS Command Injection (CVE-2026-27554)/súlyos;
- PHP Remote File Inclusion (CVE-2026-27555)/súlyos;
- PHP Remote File Inclusion (CVE-2026-27556)/súlyos;
- OS Command Injection (CVE-2026-27558)/súlyos;
- OS Command Injection (CVE-2026-27559)/súlyos;
- Incorrect Authorization (CVE-2026-27552)/súlyos;
- Path Traversal (CVE-2026-27557)/súlyos;
- OS Command Injection (CVE-2026-27560)/súlyos;
- OS Command Injection (CVE-2026-27561)/súlyos;
- OS Command Injection (CVE-2026-27562)/súlyos;
- OS Command Injection (CVE-2026-27563)/súlyos;
- OS Command Injection (CVE-2026-27564)/súlyos;
- Exposure of Sensitive System Information to an Unauthorized Control Sphere (CVE-2026-27553)/közepes;
Javítás: Elérhető
Link a publikációhoz: https://certvde.com/de/advisories/VDE-2026-014/

Bejelentés dátuma: 2026.09.16.
Gyártó: Phoenix Contact
Érintett rendszer(ek):
- Phoenix Contact IOL MA8 PN DI8 1.7.4-nél korábbi firmware-verziói);
- Phoenix Contact IOL MA8 EIP DI8 1.7.4-nél korábbi firmware-verziói);
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Authentication Bypass Using an Alternate Path or Channel (CVE-2026-27546)/kritikus;
- OS Command Injection (CVE-2026-27565)/kritikus;
- OS Command Injection (CVE-2026-27547)/súlyos;
- OS Command Injection (CVE-2026-27548)/súlyos;
- OS Command Injection (CVE-2026-27549)/súlyos;
- OS Command Injection (CVE-2026-27550)/súlyos;
- OS Command Injection (CVE-2026-27551)/súlyos;
- OS Command Injection (CVE-2026-27554)/súlyos;
- PHP Remote File Inclusion (CVE-2026-27555)/súlyos;
- PHP Remote File Inclusion (CVE-2026-27556)/súlyos;
- OS Command Injection (CVE-2026-27558)/súlyos;
- OS Command Injection (CVE-2026-27559)/súlyos;
- Incorrect Authorization (CVE-2026-27552)/súlyos;
- Path Traversal (CVE-2026-27557)/súlyos;
- OS Command Injection (CVE-2026-27560)/súlyos;
- OS Command Injection (CVE-2026-27561)/súlyos;
- OS Command Injection (CVE-2026-27562)/súlyos;
- OS Command Injection (CVE-2026-27563)/súlyos;
- OS Command Injection (CVE-2026-27564)/súlyos;
- Exposure of Sensitive System Information to an Unauthorized Control Sphere (CVE-2026-27553)/közepes;
Javítás: Elérhető
Link a publikációhoz: https://certvde.com/de/advisories/VDE-2026-027/

Bejelentés dátuma: 2026.09.16.
Gyártó: Carlo Gavazzi Automation
Érintett rendszer(ek):
- Carlo Gavazzi Automation YL212CEI8M1IO (Firmware 1.7.4-nél korábbi verziói);
- Carlo Gavazzi Automation YN115CEI8RPIO (Firmware 1.7.4-nél korábbi verziói);
- Carlo Gavazzi Automation YL212CPN8M1IO (Firmware 1.7.4-nél korábbi verziói);
- Carlo Gavazzi Automation YN115CPN8RPIO (Firmware 1.7.4-nél korábbi verziói);
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Authentication Bypass Using an Alternate Path or Channel (CVE-2026-27546)/kritikus;
- OS Command Injection (CVE-2026-27565)/kritikus;
- OS Command Injection (CVE-2026-27547)/súlyos;
- OS Command Injection (CVE-2026-27548)/súlyos;
- OS Command Injection (CVE-2026-27549)/súlyos;
- OS Command Injection (CVE-2026-27550)/súlyos;
- OS Command Injection (CVE-2026-27551)/súlyos;
- OS Command Injection (CVE-2026-27554)/súlyos;
- PHP Remote File Inclusion (CVE-2026-27555)/súlyos;
- PHP Remote File Inclusion (CVE-2026-27556)/súlyos;
- OS Command Injection (CVE-2026-27558)/súlyos;
- OS Command Injection (CVE-2026-27559)/súlyos;
- Incorrect Authorization (CVE-2026-27552)/súlyos;
- Path Traversal (CVE-2026-27557)/súlyos;
- OS Command Injection (CVE-2026-27560)/súlyos;
- OS Command Injection (CVE-2026-27561)/súlyos;
- OS Command Injection (CVE-2026-27562)/súlyos;
- OS Command Injection (CVE-2026-27563)/súlyos;
- OS Command Injection (CVE-2026-27564)/súlyos;
- Exposure of Sensitive System Information to an Unauthorized Control Sphere (CVE-2026-27553)/közepes;
Javítás: Elérhető
Link a publikációhoz: https://certvde.com/de/advisories/VDE-2026-028/

Bejelentés dátuma: 2026.09.17.
Gyártó: Bransys
Érintett rendszer(ek):
- Bransys Android 11.00.00-nál korábbi verziói;
- Bransys iOS 1.1.54-nél korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Use of Hard-coded Credentials (CVE-2026-86520)/súlyos;
- Cleartext Transmission of Sensitive Information (CVE-2026-86689)/közepes;
- Use of Hard-coded Credentials (CVE-2026-77960)/közepes;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-26-260-01

Bejelentés dátuma: 2026.09.17.
Gyártó: Mitsubishi Electric
Érintett rendszer(ek):
- Mitsubishi Electric GX Works3 minden verziója;
- Mitsubishi Electric Motion Control Settings (GX Works3-mal érkező szoftverek) minden verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Incorrect Implementation of Authentication Algorithm (CVE-2026-15688)/súlyos;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-26-260-02

Bejelentés dátuma: 2026.09.21.
Gyártó: Lenze SE
Érintett rendszer(ek):
- Lenze VPN Client 1.0.0 és újabb, de 1.4.7-nél korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- CRLF Injection (CVE-2026-75925)/kritikus;
Javítás: Elérhető
Link a publikációhoz: https://certvde.com/de/advisories/VDE-2026-089/

Bejelentés dátuma: 2026.09.22.
Gyártó: lwIP
Érintett rendszer(ek):
- lwIP MQTT Client Application 2.0.1–2.2.1 közötti verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Out-of-bounds Write (CVE-2026-87121)/kritikus;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-26-265-01

Bejelentés dátuma: 2026.09.22.
Gyártó: lwIP
Érintett rendszer(ek):
- lwIP API 2.0.1–2.2.1 közötti verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Double Free (CVE-2026-91018)/súlyos;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-26-265-02

Bejelentés dátuma: 2026.09.22.
Gyártó: Autonomy Logic
Érintett rendszer(ek):
- Autonomy Logic OpenPLC 3 verziója;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Cross-site Scripting (CVE-2026-88020)/közepes;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-26-265-09

Bejelentés dátuma: 2026.09.24.
Gyártó: Botslab
Érintett rendszer(ek):
- Botslab G980H dash cam sorozat 30010_QHG980HN5294SysFW+ és 58_QHG980HMCN5291SysFW+ verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- Incorrect Authorization (CVE-2026-84399)/súlyos;
- Insufficient Session Expiration (CVE-2026-82566)/súlyos;
- Generation of Predictable Numbers or Identifiers (CVE-2026-85496)/súlyos;
- Authentication Bypass by Capture-replay (CVE-2026-77967)/súlyos;
- Use of Weak Credentials (CVE-2026-88761)/közepes;
- Missing Authentication for Critical Function (CVE-2026-88956)/közepes;
- Insertion of Sensitive Information into Log File (CVE-2026-82716)/közepes;
- Missing Authentication for Critical Function (CVE-2026-84403)/közepes;
- Use of Hard-coded Cryptographic Key (CVE-2026-75558)/közepes;
- Insufficient Verification of Data Authenticity (CVE-2026-81630)/súlyos;
- Out-of-bounds Write (CVE-2026-87118)/közepes;
- Path Traversal (CVE-2026-82708)/közepes;
- Use of Hard-coded Credentials (CVE-2026-79959)/közepes;
- Cleartext Transmission of Sensitive Information (CVE-2026-82585)/közepes;
Javítás: Nincs információ.
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-26-267-01

Bejelentés dátuma: 2026.09.24.
Gyártó: Eufy
Érintett rendszer(ek):
- Eufy Omni C20 1.6.4-nél korábbi verziói;
- Eufy Omni X10 Pro 1.6.4-nél korábbi verziói;
Sérülékenység(ek) neve/CVSSv3.1 szerinti besorolása:
- OS Command Injection (CVE-2026-93289)/súlyos;
- Use of Hard-coded Credentials (CVE-2026-93290)/közepes;
- Improper Certificate Validation (CVE-2026-93291)/kritikus;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/news-events/ics-advisories/icsa-26-267-02

A fenti sérülékenységek negatív hatásainak csökkentése érdekében az ICS-CERT az alábbi kockázatcsökkentő intézkedések bevezetését javasolja:

- Minimálisra kell csökkenteni az ipari/egészségügyi rendszerek/hálózatok kapcsolatát az Internettel, az ilyen eszközök közvetlen Internetre történő csatlakoztatását kerülni kell;
- Az ipari/egészségügyi rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari/egészségügyi rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak;
- Amikor csak lehetséges el kell távolítani, le kell tiltani vagy meg kell változtatni az alapértelmezett felhasználói fiókok nevét és jelszavát;
- A nyers erőn (brute force) alapuló jelszótörések elleni védekezés jegyében felhasználói fiók-kizárási szabályokat célszerű alkalmazni;
- Erős jelszavak alkalmazását kikényszerítő szabályokat kell alkalmazni;
- Harmadik féltől származó alkalmazással célszerű monitorozni az adminisztrátori szintű jogosultságok kiadását;
- Az alapértelmezett beállításokat, amennyiben lehetséges, meg kell változtatni;
- A futó szolgáltatások hardening-jét célszerű elvégezni (csak azok a szolgáltatások fussanak, amik nélkülözhetetlenek);
- Biztonságos felhasználókezelési és hozzáférési szabályokat kell életbe léptetni;
- A megbízhatónak tartott firmware és szoftver-verziókból célszerű (valamilyen szinten tűzálló páncélszekrényben) elzárt fizikai példányokkal rendelkezni (lehetőleg egyszer írható adathordozón, pl. CD/DVD, stb.);
- Ismerni kell a normális működéshez tartozó hálózati forgalmat;
- Ki kell alakítani a biztonsági naplózás és naplóelemzés képességét és ezekre építve a megfelelő riasztási eljárásokat;
- Az új beállításokat labor körülmények között célszerű tesztelni, mielőtt az éles (és tartalék) rendszerekben alkalmaznák azokat.

Szólj hozzá!
Siemens ICS sérülékenység Siemens ProductCERT Phoenix Contact Mitsubishi Electric PEPPERL+FUCHS Lenze Bransys IwIP Autonomy Logic Botslab Eufy Carlo Gavazzi Automation

Ajánlott bejegyzések:

A bejegyzés trackback címe:

https://icscybersec.blog.hu/api/trackback/id/tr1519176915

Kommentek:

A hozzászólások a vonatkozó jogszabályok  értelmében felhasználói tartalomnak minősülnek, értük a szolgáltatás technikai  üzemeltetője semmilyen felelősséget nem vállal, azokat nem ellenőrzi. Kifogás esetén forduljon a blog szerkesztőjéhez. Részletek a  Felhasználási feltételekben és az adatvédelmi tájékoztatóban.

Nincsenek hozzászólások.
süti beállítások módosítása