Bejelentés dátuma: 2022.10.24.
Gyártó: Belden
Érintett rendszer(ek):
- Belden Provize Basic 01.1.01;
- Hirschmann Network Management Industrial HiVision 08.2.00 és korábbi verziói;
- Hirschmann Network Management HiFusion 04.2.00 és korábbi verziói;
- Hirschmann Network Management HiView 04.2.00 és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Java SE vulnerability (CVE-2022-21449)/súlyos;
- Java SE vulnerability (CVE-2022-21476)/súlyos;
Javítás: Elérhető
Link a publikációhoz: https://dam.belden.com/dmm3bwsv3/assetstream.aspx?assetid=14996&mediaformatid=50063&destinationid=10016

Bejelentés dátuma: 2022.11.08.
Gyártó: Schneider Electric
Érintett rendszer(ek):
- NetBotz 4 - 355/450/455/550/570 V4.7.0 és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Cross-site Scripting (CVE-2022-43376)/súlyos;
- Improper Restriction of Excessive Authentication Attempts (CVE-2022-43377)/közepes;
- Improper Restriction of Rendered UI Layers or Frames (CVE-2022-43378)/közepes;
Javítás: Elérhető
Link a publikációhoz: Schneider Electric

Bejelentés dátuma: 2022.11.08.
Gyártó: Siemens
Érintett rendszer(ek):
- Siemens SINEC NMS v1.0.3-nál korábbi összes verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Deserialization of Untrusted Data (CVE-2021-42550)/közepes;
Javítás: Elérhető
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2022.11.08.
Gyártó: Siemens
Érintett rendszer(ek):
- SCALANCE W1750D (JP) (6GK5750-2HX01-1AD0) minden verziója;
- SCALANCE W1750D (ROW) (6GK5750-2HX01-1AA0) minden verziója;
- SCALANCE W1750D (USA) (6GK5750-2HX01-1AB0) minden verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Uncontrolled Resource Consumption (CVE-2002-20001)/súlyos;
- Classic Buffer Overflow (CVE-2022-37885)/kritikus;
- Classic Buffer Overflow (CVE-2022-37886)/kritikus;
- Classic Buffer Overflow (CVE-2022-37887)/kritikus;
- Classic Buffer Overflow (CVE-2022-37888)/kritikus;
- Classic Buffer Overflow (CVE-2022-37889)/kritikus;
- Classic Buffer Overflow (CVE-2022-37890)/kritikus;
- Classic Buffer Overflow (CVE-2022-37891)/kritikus;
- Cross-site Scripting (CVE-2022-37892)/kritikus;
- Cross-site Scripting (CVE-2022-37896)/kritikus;
- Command Injection (CVE-2022-37893)/kritikus;
- Improper Input Validation (CVE-2022-37894)/kritikus;
- Improper Input Validation (CVE-2022-37895)/kritikus;
Javítás: Nincs információ
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2022.11.08.
Gyártó: Siemens
Érintett rendszer(ek):
- JT2Go minden, V14.1.0.4-nél korábbi verziója;
- Teamcenter Visualization V13.3 minden verziója;
- Teamcenter Visualization V13.3 minden, V13.3.0.7-nél korábbi verziója;
- Teamcenter Visualization V14.0 minden, V14.0.0.3-nál korábbi verziója;
- Teamcenter Visualization V14.1 minden, V14.1.0.4-nél korábbi verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Heap-based Buffer Overflow (CVE-2022-39136)/súlyos;
- Out-of-bounds Write (CVE-2022-41660)/súlyos;
- Out-of-bounds Read (CVE-2022-41661)/súlyos;
- Out-of-bounds Read (CVE-2022-41662)/súlyos;
- Use After Free (CVE-2022-41663)/súlyos;
- Stack-based Buffer Overflow (CVE-2022-41664)/súlyos;
Javítás: Elérhető
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2022.11.08.
Gyártó: Siemens
Érintett rendszer(ek):
- Siemens QMS Automotive minden verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Cleartext Storage of Sensitive Information in Memory (CVE-2022-43958)/súlyos;
Javítás: Nincs információ
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2022.11.08.
Gyártó: Siemens
Érintett rendszer(ek):
- RUGGEDCOM ROS i800 V4.X minden verziója;
- RUGGEDCOM ROS i801 V4.X minden verziója;
- RUGGEDCOM ROS i802 V4.X minden verziója;
- RUGGEDCOM ROS i803 V4.X minden verziója;
- RUGGEDCOM ROS RMC30 V4.X minden verziója;
- RUGGEDCOM ROS RMC8388 V4.X minden verziója;
- RUGGEDCOM ROS RP110 V4.X minden verziója;
- RUGGEDCOM ROS RS1600 V4.X minden verziója;
- RUGGEDCOM ROS RS1600F V4.X minden verziója;
- RUGGEDCOM ROS RS1600T V4.X minden verziója;
- RUGGEDCOM ROS RS400 V4.X minden verziója;
- RUGGEDCOM ROS RS401 V4.X minden verziója;
- RUGGEDCOM ROS RS416Pv2 V4.X minden verziója;
- RUGGEDCOM ROS RS416v2 V4.X minden verziója;
- RUGGEDCOM ROS RS8000 V4.X minden verziója;
- RUGGEDCOM ROS RS8000A V4.X minden verziója;
- RUGGEDCOM ROS RS8000H V4.X minden verziója;
- RUGGEDCOM ROS RS8000T V4.X minden verziója;
- RUGGEDCOM ROS RS900 (32M) V4.X minden verziója;
- RUGGEDCOM ROS RS900 V4.X minden verziója;
- RUGGEDCOM ROS RS900G (32M) V4.X minden verziója;
- RUGGEDCOM ROS RS900G V4.X minden verziója;
- RUGGEDCOM ROS RS900GP V4.X minden verziója;
- RUGGEDCOM ROS RS900L V4.X minden verziója;
- RUGGEDCOM ROS RS900M V4.X minden verziója;
- RUGGEDCOM ROS RS900W V4.X minden verziója;
- RUGGEDCOM ROS RS910 V4.X minden verziója;
- RUGGEDCOM ROS RS910L V4.X minden verziója;
- RUGGEDCOM ROS RS910W V4.X minden verziója;
- RUGGEDCOM ROS RS920L V4.X minden verziója;
- RUGGEDCOM ROS RS920W V4.X minden verziója;
- RUGGEDCOM ROS RS930L V4.X minden verziója;
- RUGGEDCOM ROS RS930W V4.X minden verziója;
- RUGGEDCOM ROS RS940G V4.X minden verziója;
- RUGGEDCOM ROS RSG2100 (32M) V4.X minden verziója;
- RUGGEDCOM ROS RSG2100 V4.X minden verziója;
- RUGGEDCOM ROS RSG2100P V4.X minden verziója;
- RUGGEDCOM ROS RSG2200 V4.X minden verziója;
- RUGGEDCOM ROS RSG2288 V4.X minden verziója;
- RUGGEDCOM ROS RSG2300 V4.X minden verziója;
- RUGGEDCOM ROS RSG2300P V4.X minden verziója;
- RUGGEDCOM ROS RSG2488 V4.X minden verziója;
- RUGGEDCOM ROS RSG920P V4.X minden verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Uncontrolled Resource Consumption (CVE-2022-39158)/közepes;
Javítás: Nincs információ
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2022.11.08.
Gyártó: Siemens
Érintett rendszer(ek):
- SINUMERIK ONE minden verziója;
- SINUMERIK MC minden verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Insufficiently Protected Credentials (CVE-2022-38465)/kritikus
Javítás: Nincs információ
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2022.11.08.
Gyártó: Siemens
Érintett rendszer(ek):
- SIMATIC Drive Controller család minden verziója;
- SIMATIC ET 200pro IM154-8 PN/DP CPU (6ES7154-8AB01-0AB0) minden, V3.2.19-nél korábbi verziója;
- SIMATIC ET 200pro IM154-8F PN/DP CPU (6ES7154-8FB01-0AB0) minden, V3.2.19-nél korábbi verziója;
- SIMATIC ET 200pro IM154-8FX PN/DP CPU (6ES7154-8FX00-0AB0) minden, V3.2.19-nél korábbi verziója;
- SIMATIC ET 200S IM151-8 PN/DP CPU (6ES7151-8AB01-0AB0) minden, V3.2.19-nél korábbi verziója;
- SIMATIC ET 200S IM151-8F PN/DP CPU (6ES7151-8FB01-0AB0) minden, V3.2.19-nél korábbi verziója;
- SIMATIC PC Station minden, V2.1-es és későbbi verziója;
- SIMATIC S7-300 CPU 314C-2 PN/DP (6ES7314-6EH04-0AB0) minden, V3.3.19-nél korábbi verziója;
- SIMATIC S7-300 CPU 315-2 PN/DP (6ES7315-2EH14-0AB0) minden, V3.2.19-nél korábbi verziója;
- SIMATIC S7-300 CPU 315F-2 PN/DP (6ES7315-2FJ14-0AB0) minden, V3.2.19-nél korábbi verziója;
- SIMATIC S7-300 CPU 315T-3 PN/DP (6ES7315-7TJ10-0AB0) minden, V3.2.19-nél korábbi verziója;
- SIMATIC S7-300 CPU 317-2 PN/DP (6ES7317-2EK14-0AB0) minden, V3.2.19-nél korábbi verziója;
- SIMATIC S7-300 CPU 317F-2 PN/DP (6ES7317-2FK14-0AB0) minden, V3.2.19-nél korábbi verziója;
- SIMATIC S7-300 CPU 317T-3 PN/DP (6ES7317-7TK10-0AB0) minden, V3.2.19-nél korábbi verziója;
- SIMATIC S7-300 CPU 317TF-3 PN/DP (6ES7317-7UL10-0AB0) minden, V3.2.19-nél korábbi verziója;
- SIMATIC S7-300 CPU 319-3 PN/DP (6ES7318-3EL01-0AB0) minden, V3.2.19-nél korábbi verziója;
- SIMATIC S7-300 CPU 319F-3 PN/DP (6ES7318-3FL01-0AB0) minden, V3.2.19-nél korábbi verziója;
- SIMATIC S7-400 PN/DP V6 CPU család (beleértve a SIPLUS változatokat is) minden verziója;
- SIMATIC S7-400 PN/DP V7 CPU család (beleértve a SIPLUS változatokat is) minden verziója;
- SIMATIC S7-1200 CPU család (beleértve a SIPLUS változatokat is) minden verziója;
- SIMATIC S7-1500 CPU family (beleértve az ET 200-as CPU-kat és a SIPLUS változatokat is) minden verziója;
- SIMATIC S7-1500 Software Controller minden verziója;
- SIMATIC S7-PLCSIM Advanced minden verziója;
- SIMATIC WinCC Runtime Advanced minden verziója;
- SINUMERIK ONE minden verziója;
- SIPLUS ET 200S IM151-8 PN/DP CPU (6AG1151-8AB01-7AB0) minden, V3.2.19-nél korábbi verziója;
- SIPLUS ET 200S IM151-8F PN/DP CPU (6AG1151-8FB01-2AB0) minden, V3.2.19-nél korábbi verziója;
- SIPLUS S7-300 CPU 314C-2 PN/DP (6AG1314-6EH04-7AB0) minden, V3.3.19-nél korábbi verziója;
- SIPLUS S7-300 CPU 315-2 PN/DP (6AG1315-2EH14-7AB0) minden, V3.2.19-nél korábbi verziója;
- SIPLUS S7-300 CPU 315F-2 PN/DP (6AG1315-2FJ14-2AB0) minden, V3.2.19-nél korábbi verziója;
- SIPLUS S7-300 CPU 317-2 PN/DP (6AG1317-2EK14-7AB0) minden, V3.2.19-nél korábbi verziója;
- SIPLUS S7-300 CPU 317F-2 PN/DP (6AG1317-2FK14-2AB0) minden, V3.2.19-nél korábbi verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Cross-Site Request Forgery (CSRF) (CVE-2022-30694)/közepes;
Javítás: Elérhető
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2022.11.08.
Gyártó: Siemens
Érintett rendszer(ek):
- Parasolid V34.0 minden, V34.0.252-nél korábbi változata;
- Parasolid V34.0 minden, V34.0.254-nél korábbi változata;
- Parasolid V34.1 minden, V34.1.242-nél korábbi változata;
- Parasolid V34.1 minden, V34.1.244-nél korábbi változata;
- Parasolid V35.0 minden, V35.0.184-nél korábbi változata;
- Parasolid V35.0 minden, V35.0.170-nél korábbi változata;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Out-of-bounds Read (CVE-2022-39157)/súlyos;
- Out-of-bounds Write (CVE-2022-43397)/súlyos;
Javítás: Elérhető
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2022.11.08.
Gyártó: Siemens
Érintett rendszer(ek):
- POWER METER SICAM Q100 (7KG9501-0AA01-2AA1) minden, V2.50-nél korábbi verziója;
- POWER METER SICAM Q100 (7KG9501-0AA31-2AA1) minden, V2.50-nél korábbi verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Session Fixation (CVE-2022-43398)/súlyos;
- Improper Input Validation (CVE-2022-43439)/kritikus;
- Improper Input Validation (CVE-2022-43545)/kritikus;
- Improper Input Validation (CVE-2022-43546)/kritikus;
Javítás: Elérhető
Link a publikációhoz: Siemens ProductCERT

Bejelentés dátuma: 2022.11.10.
Gyártó: Omron
Érintett rendszer(ek):
- NX7-sorozatú Machine Automation Controller (minden modell) 1.28-as és korábbi verziói;
- NX1-sorozatú Machine Automation Controller (minden modell) 1.48-as és korábbi verziói;
- NJ-sorozatú Machine Automation Controller (minden modell) 1.48-as és korábbi verziói;
- Automation Software Sysmac Studio (minden modell) 1.49-es és korábbi verziói;
- NA-sorozatú programozható terminálok (NA5-15W, NA5-12W, NA5-9W, NA5-7W) 1.15-ös és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Hard-coded Credentials (CVE-2022-34151)/kritikus;
- Authentication Bypass by Capture-replay (CVE-2022-33208)/súlyos;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-22-314-08

Bejelentés dátuma: 2022.11.10.
Gyártó: Omron
Érintett rendszer(ek):
- NX7-sorozatú Machine Automation Controller (minden modell) 1.28-as és korábbi verziói;
- NX1-sorozatú Machine Automation Controller (minden modell) 1.48-as és korábbi verziói;
- NJ-sorozatú Machine Automation Controller (minden modell) 1.48-as és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Active Debug Code (CVE-2022-33971)/súlyos;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-22-314-07

Bejelentés dátuma: 2022.11.11.
Gyártó: Moxa
Érintett rendszer(ek):
- VPort P16-1MP-M12 v1.3-as és korábbi firmware-verziói;
- VPort P16-1MP-M12-IR v1.4-es és korábbi firmware-verziói;
- VPort P06-1MP-M12 v2.6-os és korábbi firmware-verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Multiple Format String (CVE-2022-38157)/n/a
- Multiple Buffer Overflows (CVE-2022-31858)/n/a
- NULL Pointer Dereference (CVE-2022-38159)/n/a
Javítás: Elérhető a Moxa Technical Support-nál.
Link a publikációhoz: https://www.moxa.com/en/support/product-support/security-advisory/moxa-vport-series-improper-input-validation-vulnerability

A fenti sérülékenységekkel kapcsolatban az ICS-CERT az alábbi kockázatcsökkentő intézkedések fontosságát hangsúlyozza:

- Minimálisra kell csökkenteni az ipari/egészségügyi rendszerek/hálózatok kapcsolatát az Internettel, az ilyen eszközök közvetlen Internetre történő csatlakoztatását kerülni kell;
- Az ipari/egészségügyi rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari/egészségügyi rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak;
- Amikor csak lehetséges el kell távolítani, le kell tiltani vagy meg kell változtatni az alapértelmezett felhasználói fiókok nevét és jelszavát;
- A nyers erőn (brute force) alapuló jelszótörések elleni védekezés jegyében felhasználói fiók-kizárási szabályokat célszerű alkalmazni;
- Erős jelszavak alkalmazását kikényszerítő szabályokat kell alkalmazni;
- Harmadik féltől származó alkalmazással célszerű monitorozni az adminisztrátori szintű jogosultságok kiadását;
- Az alapértelmezett beállításokat, amennyiben lehetséges, meg kell változtatni;
- A futó szolgáltatások hardening-jét célszerű elvégezni (csak azok a szolgáltatások fussanak, amik nélkülözhetetlenek);
- Biztonságos felhasználókezelési és hozzáférési szabályokat kell életbe léptetni;
- A megbízhatónak tartott firmware és szoftver-verziókból célszerű (valamilyen szinten tűzálló páncélszekrényben) elzárt fizikai példányokkal rendelkezni (lehetőleg egyszer írható adathordozón, pl. CD/DVD, stb.);
- Ismerni kell a normális működéshez tartozó hálózati forgalmat;
- Ki kell alakítani a biztonsági naplózás és naplóelemzés képességét és ezekre építve a megfelelő riasztási eljárásokat;
- Az új beállításokat labor körülmények között célszerű tesztelni, mielőtt az éles (és tartalék) rendszerekben alkalmaznák azokat.

A Pipedream malware, amiről áprilisban jelentek meg az első publikációk, a hetedik volt az ICS-specifikus malware-ek sorában. A Dragos munkatársainak egy része azóta is a Pipedream tesztelésén dolgozott és a nyári DEFCON30 után nemrég egy blogposztban foglalták össze a malware-en végzett futásidejű tesztjeik eredményeit:

- Megerősítést nyert, hogy a Pipedream EVILSCHOLAR modul képes CODESYSv3 eszközök támadására. A Schneider Electric vezérlők feltételezéseik szerint csak a Pipedream kezdeti célpontjai voltak;
- A BADOMAN modul az 1S-sorozatú szervo motorok manipulálására képes, nem csak a konkrét R88D-1SN10F-ECT szervo motoréra;
- A BADOMAN a vizsgálat idején nem volt képes az Omron safety vezérlőit manipulálni, de a tesztet végző mérnökök feltételezései szerint ez lehet a malware-modul fejlesztésének következő célja;
- Az EVILSCHOLAR és BADOMAN modulok képesek a vezérlési logikai módosítására és a célpont PLC-k manipulálására annak érdekében, hogy megzavarják a folyamatvezérlést vagy károkat okozzanak a fizikai folyamatokba beavatkozó berendezésekben.

A DEFCON30 előadás videója itt, a futásidejű tesztekről készült elemzés pedig itt érhető el.

Bejelentés dátuma: 2022.10.17.
Gyártó: Belden
Érintett rendszer(ek):
- Hirschmann Industrial HiVision Network Management 08.1.03-as és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Binary execution due to insufficient path sanitization (n/a)/súlyos;
Javítás: Elérhető
Link a publikációhoz: Belden
https://dam.belden.com/dmm3bwsv3/assetstream.aspx?assetid=14899&mediaformatid=50063&destinationid=10016

Bejelentés dátuma: 2022.11.03.
Gyártó: ETIC Telecom
Érintett rendszer(ek):
- ETIC Telecom RAS 4.5.0 és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Insufficient Verification of Data Authenticity (CVE-2022-3703)/kritikus;
- Path Traversal (CVE-2022-41607)/súlyos;
- Unrestricted Upload of File with Dangerous Type (CVE-2022-40981)/súlyos;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-22-307-01

Bejelentés dátuma: 2022.11.03.
Gyártó: Delta Industrial Automation
Érintett rendszer(ek):
- DIALink v1.5.0.0 Beta 4-nél korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Path traversal (CVE-2022-2969)/súlyos;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-22-307-03

Bejelentés dátuma: 2022.11.03.
Gyártó: Nokia
Érintett rendszer(ek):
- Nokia ASIK AirScale 474021A.101;
- Nokia ASIK AirScale 474021A.102;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Improper Access Control for Volatile Memory Containing Boot Code (CVE-2022-2482)/súlyos;
- Improper Access Control for Volatile Memory Containing Boot Code (CVE-2022-2484)/súlyos;
- Assumed-Immutable Data is Stored in Writable Memory (CVE-2022-2483)/súlyos;
Javítás: Nincs információ.
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-22-307-02

A sérülékenységek negatív hatásainak csökkentése érdekében az ICS-CERT az alábbi kockázatcsökkentő intézkedések bevezetését javasolja:

- Minimálisra kell csökkenteni az ipari/egészségügyi rendszerek/hálózatok kapcsolatát az Internettel, az ilyen eszközök közvetlen Internetre történő csatlakoztatását kerülni kell;
- Az ipari/egészségügyi rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari/egészségügyi rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak;
- Amikor csak lehetséges el kell távolítani, le kell tiltani vagy meg kell változtatni az alapértelmezett felhasználói fiókok nevét és jelszavát;
- A nyers erőn (brute force) alapuló jelszótörések elleni védekezés jegyében felhasználói fiók-kizárási szabályokat célszerű alkalmazni;
- Erős jelszavak alkalmazását kikényszerítő szabályokat kell alkalmazni;
- Harmadik féltől származó alkalmazással célszerű monitorozni az adminisztrátori szintű jogosultságok kiadását;
- Az alapértelmezett beállításokat, amennyiben lehetséges, meg kell változtatni;
- A futó szolgáltatások hardening-jét célszerű elvégezni (csak azok a szolgáltatások fussanak, amik nélkülözhetetlenek);
- Biztonságos felhasználókezelési és hozzáférési szabályokat kell életbe léptetni;
- A megbízhatónak tartott firmware és szoftver-verziókból célszerű (valamilyen szinten tűzálló páncélszekrényben) elzárt fizikai példányokkal rendelkezni (lehetőleg egyszer írható adathordozón, pl. CD/DVD, stb.);
- Ismerni kell a normális működéshez tartozó hálózati forgalmat;
- Ki kell alakítani a biztonsági naplózás és naplóelemzés képességét és ezekre építve a megfelelő riasztási eljárásokat;
- Az új beállításokat labor körülmények között célszerű tesztelni, mielőtt az éles (és tartalék) rendszerekben alkalmaznák azokat.

Bármennyire is felkészülünk a kiberbiztonsági incidensek megelőzésére, mindig lesznek olyan (szerencsés és/vagy elszánt) támadók, akik valamilyen szinten képesek lesznek betörni a rendszereinkbe, így a nagyfeszültségű villamosenergia-rendszer IT rendszereibe is. Ezekre az esetekre készít fel a NERC CIP-008-6-os fejezete.

A CIP-008-6 előírásokat tartalmaz a kiberbiztonsági események értékelésére valamint a biztonsági események incidenssé nyilvánítására vonatkozó szabályok kidolgozására. Meghatározza azt is, hogy a nagyfeszültségű villamosenergia-rendszer mely szereplőinek kell további szabályokat kidolgozniuk arra vonatkozóan, hogy kinek milyen szerepe és felelőssége van a kiberbiztonsági incidensek felszámolása során illetve milyen eljárásokat kell követniük az incidenskezelési tevékenységek végzésekor.

A CIP-008-6 második fejezete az incidenskezelési szabályok bevezetésével és tesztelésével kapcsolatos elvárásokat foglalja össze. A harmadik fejezet a kidolgozott tervek felülvizsgálatával, frissítésével és a kapcsolódó kommunikációs szabályokkal foglalkozik, a negyedik fejezet pedig az incidensek kezelésével kapcsolatos értesítési és jelentési rendre vonatkozó előírásokat ismerteti.

A NERC CIP-008 jelenleg (2022.10.26-án) hatályos változata itt érhető el: https://www.nerc.com/pa/Stand/Reliability%20Standards/CIP-008-6.pdf

Bejelentés dátuma: 2022.10.25.
Gyártó: Delta Electronics
Érintett rendszer(ek):
- InfraSuite Device Master 00.00.01a és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Deserialization of Untrusted Data (CVE-2022-41778)/kritikus;
- Deserialization of Untrusted Data (CVE-2022-38142)/kritikus;
- Deserialization of Untrusted Data (CVE-2022-41779)/súlyos;
- Path Traversal (CVE-2022-41657)/kritikus;
- Path Traversal (CVE-2022-41772)/kritikus;
- Missing Authentication for Critical Function (CVE-2022-40202)/kritikus;
- Missing Authentication for Critical Function (CVE-2022-41688)/kritikus;
- Missing Authentication for Critical Function (CVE-2022-41644)/súlyos;
- Missing Authentication for Critical Function (CVE-2022-41776)/súlyos;
- Missing Authentication for Critical Function (CVE-2022-41629)/súlyos;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-22-298-07

Bejelentés dátuma: 2022.10.25.
Gyártó: Delta Electronics
Érintett rendszer(ek):
- DIAEnergie v1.9.01.002-nél korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Cross-site Scripting (CVE-2022-41701)/súlyos;
- Cross-site Scripting (CVE-2022-40965)/súlyos;
- Cross-site Scripting (CVE-2022-41555)/súlyos;
- Cross-site Scripting (CVE-2022-41702)/súlyos;
- Cross-site Scripting (CVE-2022-41651)/súlyos;
- SQL Injection (CVE-2022-40965)/súlyos;
- SQL Injection (CVE-2022-41133)/súlyos;
- SQL Injection (CVE-2022-41773)/súlyos;
Javítás: Elérhető a gyártó ügyfélszolgálatánál.
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-22-298-06

Bejelentés dátuma: 2022.10.25.
Gyártó: CKS (Johnson Controls leányvállalat)
Érintett rendszer(ek):
- CEVAS 1.01.46-nál korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Cross-site Scripting (CVE-2021-36206)/kritikus;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-22-298-05

Bejelentés dátuma: 2022.10.25.
Gyártó: Hitachi Energy
Érintett rendszer(ek):
- MicroSCADA X-szel integrált DMS600 4.5-ös verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Reliance on Uncontrolled Component (CVE-2021-32027)/súlyos;
- Reliance on Uncontrolled Component (CVE-2021-32028)/közepes;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-22-298-04

Bejelentés dátuma: 2022.10.25.
Gyártó: Siemens
Érintett rendszer(ek):
- Siemens Siveillance Video V22.2a(80)-nál korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Weak Authentication (Weak Authentication)/kritikus;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-22-298-03

Bejelentés dátuma: 2022.10.25.
Gyártó: HEIDENHAIN
Érintett rendszer(ek):
- HEIDENHAIN Controller TNC 640 340590 07 SP5, ami HEROS 5.08.3-as verziót futtat, ha HARTFORD 5A-65E CNC gépet vezérel;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Improper Authentication (CVE-2022-41648)/súlyos;
Javítás: A gyártó jelenleg is dolgozik a javításon.
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-22-298-02

Bejelentés dátuma: 2022.10.25.
Gyártó: Haas Automation
Érintett rendszer(ek):
- Haas Controller 100.20.000.1110-es verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Missing Authentication for Critical Function (CVE-2022-2474)/kritikus;
- Insufficient Granularity of Access Control (CVE-2022-2475)/kritikus;
- Cleartext Transmission of Sensitive Information (CVE-2022-41636)/kritikus;
Javítás: Nincs, a gyártó kockázatcsökkentő intézkedések alkalmazását javasolja.
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-22-298-01

Bejelentés dátuma: 2022.10.25.
Gyártó: AliveCor
Érintett rendszer(ek):
- Kardia App Android alkalmazás 5.17.1-754993421-es és korábbi verziói;
- KardiaMobile IoT eszköz minden verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Authentication Bypass by Assumed-immutable Data (CVE-2022-40703)/közepes;
- Missing Encryption of Sensitive Data (CVE-2022-41627)/közepes;
Javítás: Nincs, a gyártó kockázatcsökkentő intézkedések alkalmazását javasolja.
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsma-22-298-01

Bejelentés dátuma: 2022.10.27.
Gyártó: Rockwell Automation
Érintett rendszer(ek):
- FactoryTalk Alarm and Events Server minden verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Improper Access Control (CVE-2022-38744)/súlyos;
Javítás: Nincs, a gyártó kockázatcsökkentő intézkedések alkalmazását javasolja.
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-22-300-01

Bejelentés dátuma: 2022.10.27.
Gyártó: SAUTER Controls
Érintett rendszer(ek):
- SAUTER moduWeb 2.7.1-es firmware-verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Cross-site Scripting (CVE-2022-40190)/súlyos;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-22-300-02

Bejelentés dátuma: 2022.10.27.
Gyártó: Rockwell Automation
Érintett rendszer(ek): Cisco IOS XE és Cisco IOS szoftverek az alábbi berendezésekben:
- Stratix 5800 switch-ek minden, v16.12.01-nél korábbi verziója;
- Stratix 5400/5410 switch-ek minden, v15.2(7)E2-nél korábbi verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Incorrect Authorization (CVE-2020-3229)/súlyos;
- Improper Input Validation (CVE-2020-3219)/súlyos;
- Improper Check for Unusual or Exceptional Conditions (CVE-2021-1446)/súlyos;
- Interpretation Conflict (CVE-2020-3200)/súlyos;
- OS Command Injection (CVE-2020-3211)/súlyos;
- Improper Input Validation (CVE-2020-3218)/súlyos;
- Improper Verification of Cryptographic Signature (CVE-2020-3209)/közepes;
- Path Traversal (CVE-2021-1385)/közepes;
- Improper Input Validation (CVE-2020-3516)/közepes;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-22-300-03

Bejelentés dátuma: 2022.10.27.
Gyártó: Trihedral
Érintett rendszer(ek):
- VTScada 12.0.38-as verziója, amennyiben úgy konfigurálták őket, hogy fogadják a http/https kapcsolatokat;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Improper Input Validation (CVE-2022-3181)/súlyos;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-22-300-04

A fenti sérülékenységek negatív hatásainak csökkentése érdekében az ICS-CERT az alábbi kockázatcsökkentő intézkedések bevezetését javasolja:

- Minimálisra kell csökkenteni az ipari/egészségügyi rendszerek/hálózatok kapcsolatát az Internettel, az ilyen eszközök közvetlen Internetre történő csatlakoztatását kerülni kell;
- Az ipari/egészségügyi rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari/egészségügyi rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak;
- Amikor csak lehetséges el kell távolítani, le kell tiltani vagy meg kell változtatni az alapértelmezett felhasználói fiókok nevét és jelszavát;
- A nyers erőn (brute force) alapuló jelszótörések elleni védekezés jegyében felhasználói fiók-kizárási szabályokat célszerű alkalmazni;
- Erős jelszavak alkalmazását kikényszerítő szabályokat kell alkalmazni;
- Harmadik féltől származó alkalmazással célszerű monitorozni az adminisztrátori szintű jogosultságok kiadását;
- Az alapértelmezett beállításokat, amennyiben lehetséges, meg kell változtatni;
- A futó szolgáltatások hardening-jét célszerű elvégezni (csak azok a szolgáltatások fussanak, amik nélkülözhetetlenek);
- Biztonságos felhasználókezelési és hozzáférési szabályokat kell életbe léptetni;
- A megbízhatónak tartott firmware és szoftver-verziókból célszerű (valamilyen szinten tűzálló páncélszekrényben) elzárt fizikai példányokkal rendelkezni (lehetőleg egyszer írható adathordozón, pl. CD/DVD, stb.);
- Ismerni kell a normális működéshez tartozó hálózati forgalmat;
- Ki kell alakítani a biztonsági naplózás és naplóelemzés képességét és ezekre építve a megfelelő riasztási eljárásokat;
- Az új beállításokat labor körülmények között célszerű tesztelni, mielőtt az éles (és tartalék) rendszerekben alkalmaznák azokat.

A fenti (illetve ennek angol eredeti változatával, "The Weissian Level 0/1 Issue") címmel jelent meg október 25-én Dale Peterson cikke a LinkedIn-en arról a témáról, amiről a címben is említett Joe Weiss már 2017 óta beszél és ír, ahol csak tud.

Joe egyébként az egyik úttörője volt az ICS kiberbiztonság témájának, már a korai 2000-es években próbálta felhívni a figyelmet a téma fontosságára (többek között a ma már ICS Cyber Security Conference néven futó konferencia megalapításával és szervezésével/támogatásával vagy 15 éven át), majd az Aurora-teszt és a Stuxnet nyilvánosságra kerülése után egyre többen kezdtek odafigyelni rá. Én személy szerint 2015-ben ismertem meg Joe-t, aki szinte napra pontosan 5 évvel ezelőtt, a 2017 októberi, Atlantában rendezett konferencián kezdett egyre határozottabban az L0/L1 berendezések (motorok, szivattyúk, transzformátorok illetve PLC-k, RTU-k, stb.) hiányzó kiberbiztonsági kontrolljaival foglalkozni. Közben persze voltak, akik Joe egyes állításait (pl. "... az L1/L0 eszközökben egyáltalán nincs semmilyen biztonsági kontroll...") cáfolták, ezért Joe is módosított egy kicsit az álláspontján és a folyamatvezérlő rendszerek szenzoraiból hiányzó biztonsági kontrollokra kezdett koncentrálni, mondván ha a szenzort tudja egy támadó kompromittálni, akkor onnantól bármilyen hamis mérési adatokkal tudja ellátni a folyamatirányító rendszereket és meglehetősen nehéz lesz ezt észlelnie az operátoroknak. Az elmúlt 5 évben Joe ismét a Kasszandra-szerepben találta magát, nagyon kevesen osztották a szenzorok kiberbiztonságával kapcsolatban megfogalmazott aggodalmait és még kevesebben voltak ezek között olyanok, akiknek a szavára ebben a szakmában adnának is.

Most viszont nem kizárt, hogy valami változásnak lehet a jele Dale cikke, mert nem is olyan régen még ő is vitatkozott Joe-val a probléma valódiságáról, most viszont pont a korábbi álláspontjával ellentétes dolgokról ír. Nem tartom lehetetlennek tehát, hogy a jövőben egyre gyakrabban fogunk hallani és olvasni a szenzorok kiberbiztonságáról (főként, hogy ez a téma már régen nem csak a folyamatvezérlő rendszereket érinti, hanem a már elég régóta tartó IoT-forradalom miatt egyre több és több milliárd rendszert). Aztán hogy ezt a problémát és az általa jelentett kockázatokat hogyan lehet kezelni, egyelőre még bizonytalan (bár én továbbra is állítom, hogy ezt egyedül sem a folyamatvezérléssel foglalkozó mérnökök, sem az IoT-tervező/fejlesztő mérnökök, sem a kiberbiztonsági szakemberek nem fogják tudni egyedül megoldani, ez a korábbiaknál is sokkal szorosabb szakmai együttműködést fog igényelni).

Dale Peterson cikke az LinkedIn-en itt olvasható, én pedig nagyon kíváncsi lennék mások véleményére is témában.

Bejelentés dátuma: 2022.10.11.
Gyártó: Schneider Electric
Érintett rendszer(ek):
- EcoStruxure™ Operator Terminal Expert V3.3 Hotfix 1-es és korábbi verziói;
- Pro-face BLUE V3.3 Hotfix 1-es és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Improper Verification of Cryptographic Signature (CVE-2022-41666)/súlyos;
- Path Traversal (CVE-2022-41667)/súlyos;
- Incorrect Project Conversion (CVE-2022-41668)/súlyos;
- Improper Verification of Cryptographic Signature (CVE-2022-41669)/súlyos;
- Path Traversal (CVE-2022-41670)/súlyos;
- SQL Injection (CVE-2022-41671)/súlyos;
Javítás: Elérhető
Link a publikációhoz: Schneider Electric

Bejelentés dátuma: 2022.10.11.
Gyártó: Schneider Electric
Érintett rendszer(ek):
- EcoStruxure™ Panel Server Box (PAS900) V3.1.16 és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Out-of-Bounds Write (CVE-2022-30790)/súlyos;
- Buffer Copy without Checking Size of Input (CVE-2022-30552)/közepes;
Javítás: Elérhető
Link a publikációhoz: Schneider Electric

Bejelentés dátuma: 2022.10.11.
Gyártó: Schneider Electric
Érintett rendszer(ek):
- SAGE RTU C3414 CPU (legújabb verzió) opcionálisan ISaGRAF software-rel, minden, 6.6.10-nél korábbi firmware-verziói;
- SAGE RTU C3413, C3412 CPU (régebbi CPU-k) opcionálisan ISaGRAF software-rel, minden firmware-verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Path Traversal (CVE-2022-2463)/közepes;
- Path Traversal (CVE-2022-2464)/közepes;
- Deserialization of Untrusted Data (CVE-2022-2465)/közepes;
Javítás: Részben elérhető
Link a publikációhoz: Schneider Electric

Bejelentés dátuma: 2022.10.11.
Gyártó: Schneider Electric
Érintett rendszer(ek):
- EcoStruxure™ Power SCADA Operation 2020 2020-as és 2020 CU1-es verziói;
- EcoStruxure™ Power SCADA Operation 2020 R2 minden, 2020 R2 CU1-nél korábbi verziója;
- EcoStruxure™ Power Operation 2021 2021-es, 2021 CU1-es és 2021 CU2-es verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Improper Input Validation (CVE-2022-22727)/súlyos;
Javítás: Elérhető
Link a publikációhoz: Schneider Electric

Bejelentés dátuma: 2022.09.27.
Gyártó: Rockwell Automation
Érintett rendszer(ek):
- ThinManager ThinServer 11.0.0-tól 11.0.4-ig terjedő verziói;
- ThinManager ThinServer 11.1.0-tól 11.1.4-ig terjedő verziói;
- ThinManager ThinServer 11.2.0-tól 11.2.5-ig terjedő verziói;
- ThinManager ThinServer 12.0.0-tól 12.0.2-ig terjedő verziói;
- ThinManager ThinServer 12.1.0-tól 12.1.3-ig terjedő verziói;
- ThinManager ThinServer 13.0.0 verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Heap-based Buffer Overflow (CVE-2022-38742)/súlyos;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-22-270-03

Bejelentés dátuma: 2022.09.27.
Gyártó: Hitachi Energy
Érintett rendszer(ek):
- Lumada Asset Performance Management Edge Version 1.0;
- Lumada Asset Performance Management Edge Version 2.0;
- Lumada Asset Performance Management Edge Version 3.0;
- Lumada Asset Performance Management Edge Version 4.0;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Out-of-Bounds Write (CVE-2021-4034)/súlyos;
- Improper Authentication (CVE-2022-0492)/súlyos;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-22-270-02

Bejelentés dátuma: 2022.09.27.
Gyártó: Hitachi Energy
Érintett rendszer(ek):
- AFS660/AFS665 ipari switch-ek 7.0.02-es és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Improper Input Validation (CVE-2020-6994)/kritikus;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-22-270-01

Bejelentés dátuma: 2022.09.29.
Gyártó: Hitachi Energy
Érintett rendszer(ek):
- SYS600-as SCADA rendszer 10.3.1-es és korábbi verziói;
- SYS600-as SCADA rendszer 9.4 FP2 Hotfix 4-es és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Improper Input Validation (CVE-2022-1778)/súlyos;
- Improper Input Validation (CVE-2022-2277)/súlyos;
- Improper Privilege Management (CVE-2022-29490)/súlyos;
- Improper Access Control (CVE-2022-29492)/közepes;
- Improper Handling of Unexpected Data Type (CVE-2022-29922)/súlyos;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-22-272-01

Bejelentés dátuma: 2022.09.29.
Gyártó: Hitachi Energy
Érintett rendszer(ek):
- SYS600-as SCADA rendszer 10.3.1-es és korábbi verziói;
- SYS600-as SCADA rendszer 9.x verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Reliance on Uncontrolled Component (CVE-2020-25692)/súlyos;
- Reliance on Uncontrolled Component (CVE-2022-0778)/súlyos;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-22-272-02

Bejelentés dátuma: 2022.10.04.
Gyártó: Omron
Érintett rendszer(ek):
- CX-Programmer: Version 9.78-as és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Out-of-bounds Write (CVE-2022-3398)/súlyos;
- Out-of-bounds Write (CVE-2022-3396)/súlyos;
- Out-of-bounds Write (CVE-2022-3397)/súlyos;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-22-277-04

Bejelentés dátuma: 2022.10.04.
Gyártó: Horner Automation
Érintett rendszer(ek):
- Cscape 9.90 SP 6 és korábbi verziói;
- Cscape 9.90 SP 7 és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Out-of-bounds Write (CVE-2022-3379)/súlyos;
- Access of Uninitialized Pointer (CVE-2022-3378)/súlyos;
- Access of Uninitialized Pointer (CVE-2022-3377)/súlyos;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-22-277-03

Bejelentés dátuma: 2022.10.04.
Gyártó: Hitachi Energy
Érintett rendszer(ek):
- MSM (nagyfeszültségű kapcsolóberendezések monitoring megoldása) 2.2-es és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Cross-Site Request Forgery (CSRF) (CVE-2021-40335)/közepes;
- HTTP Response Splitting (CVE-2021-40336)/közepes;
Javítás: Nincs információ, a gyártó kockázatcsökkentő intézkedések alkalmazását javasolja.
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-22-277-02

Bejelentés dátuma: 2022.10.04.
Gyártó: Johnson Controls
Érintett rendszer(ek):
- MVE-t futtató Metasys ADX Server-ek 12.0 verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Improper Authentication (CVE-2022-21936)/súlyos;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-22-277-01

Bejelentés dátuma: 2022.10.04.
Gyártó: Becton, Dickinson and Company (BD)
Érintett rendszer(ek):
- BD Totalys MultiProcessor 1.70-es és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Use of Hard-coded Credentials (CVE-2022-40263)/közepes;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsma-22-277-01

Bejelentés dátuma: 2022.10.06.
Gyártó: HIWIN
Érintett rendszer(ek):
- HIWIN Robot System Software 3.3.21.9869-es verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Improper Access Control (CVE-2022-3382)/súlyos;
Javítás: Nincs információ
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-22-279-02

Bejelentés dátuma: 2022.10.06.
Gyártó: Rockwell Automation
Érintett rendszer(ek):
- FactoryTalk VantagePoint 8.0 verziója;
- FactoryTalk VantagePoint 8.0 és 8.10 közötti verziói;
- FactoryTalk VantagePoint 8.10 és 8.20 közötti verziói;
- FactoryTalk VantagePoint 8.20 és 8.30 közötti verziói;
- FactoryTalk VantagePoint 8.30 és 8.31 közötti verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Improper Access Control (CVE-2022-38743)/kritikus;
- SQL Injection (CVE-2022-3158)/kritikus;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-22-279-01

Bejelentés dátuma: 2022.10.11.
Gyártó: Sensormatic Electronics (Johnson Controls leányvállalat)
Érintett rendszer(ek):
- C-CURE 9000 2.90-es és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Observable Response Discrepancy (CVE-2021-36201)/közepes;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-22-284-03

Bejelentés dátuma: 2022.10.11.
Gyártó: Daikin Holdings Singapore
Érintett rendszer(ek):
- SVMPC1 2.1.22-es és korábbi verziói;
- SVMPC2 1.2.3-as és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Use of Hard-coded Password (CVE-2022-41653)/kritikus;
- Improper Access Control (CVE-2022-38355)/súlyos;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-22-284-02

Bejelentés dátuma: 2022.10.11.
Gyártó: Altair
Érintett rendszer(ek):
- HyperView Player 2021.1.0.27 és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Improper Restriction of Operations within the Bounds of a Memory Buffer (CVE-2022-2947)/súlyos;
- Use of Uninitialized Resource (CVE-2022-2949)/súlyos;
- Use of Uninitialized Resource (CVE-2022-2950)/súlyos;
- Improper Validation of Array Index (CVE-2022-2951)/súlyos;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-22-284-01

Bejelentés dátuma: 2022.10.11.
Gyártó: Siemens
Érintett rendszer(ek):
- Nucleus NET minden verziója;
- Nucleus ReadyStart V3 minden, V2017.02.6-nál korábbi verziója;
- Nucleus Source Code minden, az érintett FTP szervert tartalmazó verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Uncontrolled Resource Consumption (CVE-2022-38371)/súlyos;
Javítás: Részben elérhető
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2022.10.11.
Gyártó: Siemens
Érintett rendszer(ek):
- RUGGEDCOM RM1224 LTE(4G) EU (6GK6108-4AM00-2BA2) minden, v7.1.2-nél korábbi verziója;
- RUGGEDCOM RM1224 LTE(4G) NAM (6GK6108-4AM00-2DA2) minden, v7.1.2-nél korábbi verziója;
- SCALANCE M804PB (6GK5804-0AP00-2AA2) minden, v7.1.2-nél korábbi verziója;
- SCALANCE M812-1 ADSL-Router (Annex A) (6GK5812-1AA00-2AA2) minden, v7.1.2-nél korábbi verziója;
- SCALANCE M812-1 ADSL-Router (Annex B) (6GK5812-1BA00-2AA2) minden, v7.1.2-nél korábbi verziója;
- SCALANCE M816-1 ADSL-Router (Annex A) (6GK5816-1AA00-2AA2) minden, v7.1.2-nél korábbi verziója;
- SCALANCE M816-1 ADSL-Router (Annex B) (6GK5816-1BA00-2AA2) minden, v7.1.2-nél korábbi verziója;
- SCALANCE M826-2 SHDSL-Router (6GK5826-2AB00-2AB2) minden, v7.1.2-nél korábbi verziója;
- SCALANCE M874-2 (6GK5874-2AA00-2AA2) minden, v7.1.2-nél korábbi verziója;
- SCALANCE M874-3 (6GK5874-3AA00-2AA2) minden, v7.1.2-nél korábbi verziója;
- SCALANCE M876-3 (EVDO) (6GK5876-3AA02-2BA2) minden, v7.1.2-nél korábbi verziója;
- SCALANCE M876-3 (ROK) (6GK5876-3AA02-2EA2) minden, v7.1.2-nél korábbi verziója;
- SCALANCE M876-4 (EU) (6GK5876-4AA00-2BA2) minden, v7.1.2-nél korábbi verziója;
- SCALANCE M876-4 (NAM) (6GK5876-4AA00-2DA2) minden, v7.1.2-nél korábbi verziója;
- SCALANCE MUM853-1 (EU) (6GK5853-2EA00-2DA1) minden, v7.1.2-nél korábbi verziója;
- SCALANCE MUM856-1 (EU) (6GK5856-2EA00-3DA1) minden, v7.1.2-nél korábbi verziója;
- SCALANCE MUM856-1 (RoW) (6GK5856-2EA00-3AA1) minden, v7.1.2-nél korábbi verziója;
- SCALANCE S615 (6GK5615-0AA00-2AA2) minden, v7.1.2-nél korábbi verziója;
- SCALANCE WAM763-1 (6GK5763-1AL00-7DA0) minden, v1.1.0 és újabb verziója;
- SCALANCE WAM766-1 (6GK5766-1GE00-7DA0) minden, v1.1.0 és újabb verziója;
- SCALANCE WAM766-1 (6GK5766-1GE00-7DB0) minden, v1.1.0 és újabb verziója;
- SCALANCE WAM766-1 6GHz (6GK5766-1JE00-7DA0) minden, v1.1.0 és újabb verziója;
- SCALANCE WAM766-1 EEC (6GK5766-1GE00-7TA0) minden, v1.1.0 és újabb verziója;
- SCALANCE WAM766-1 EEC (6GK5766-1GE00-7TB0) minden, v1.1.0 és újabb verziója;
- SCALANCE WAM766-1 EEC 6GHz (6GK5766-1JE00-7TA0) minden, v1.1.0 és újabb verziója;
- SCALANCE WUM763-1 (6GK5763-1AL00-3AA0) minden, v1.1.0 és újabb verziója;
- SCALANCE WUM763-1 (6GK5763-1AL00-3DA0) minden, v1.1.0 és újabb verziója;
- SCALANCE WUM766-1 (6GK5766-1GE00-3DA0) minden, v1.1.0 és újabb verziója;
- SCALANCE WUM766-1 (6GK5766-1GE00-3DB0) minden, v1.1.0 és újabb verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Improper Input Validation (CVE-2022-31766)/súlyos;
Javítás: Részben elérhető
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2022.10.11.
Gyártó: Siemens
Érintett rendszer(ek):
- SICAM P850 (7KG8500-0AA00-0AA0) minden, v3.10-nél korábbi verziója;
- SICAM P850 (7KG8500-0AA00-2AA0) minden, v3.10-nél korábbi verziója;
- SICAM P850 (7KG8500-0AA10-0AA0) minden, v3.10-nél korábbi verziója;
- SICAM P850 (7KG8500-0AA10-2AA0) minden, v3.10-nél korábbi verziója;
- SICAM P850 (7KG8500-0AA30-0AA0) minden, v3.10-nél korábbi verziója;
- SICAM P850 (7KG8500-0AA30-2AA0) minden, v3.10-nél korábbi verziója;
- SICAM P850 (7KG8501-0AA01-0AA0) minden, v3.10-nél korábbi verziója;
- SICAM P850 (7KG8501-0AA01-2AA0) minden, v3.10-nél korábbi verziója;
- SICAM P850 (7KG8501-0AA02-0AA0) minden, v3.10-nél korábbi verziója;
- SICAM P850 (7KG8501-0AA02-2AA0) minden, v3.10-nél korábbi verziója;
- SICAM P850 (7KG8501-0AA11-0AA0) minden, v3.10-nél korábbi verziója;
- SICAM P850 (7KG8501-0AA11-2AA0) minden, v3.10-nél korábbi verziója;
- SICAM P850 (7KG8501-0AA12-0AA0) minden, v3.10-nél korábbi verziója;
- SICAM P850 (7KG8501-0AA12-2AA0) minden, v3.10-nél korábbi verziója;
- SICAM P850 (7KG8501-0AA31-0AA0) minden, v3.10-nél korábbi verziója;
- SICAM P850 (7KG8501-0AA31-2AA0) minden, v3.10-nél korábbi verziója;
- SICAM P850 (7KG8501-0AA32-0AA0) minden, v3.10-nél korábbi verziója;
- SICAM P850 (7KG8501-0AA32-2AA0) minden, v3.10-nél korábbi verziója;
- SICAM P855 (7KG8550-0AA00-0AA0) minden, v3.10-nél korábbi verziója;
- SICAM P855 (7KG8550-0AA00-2AA0) minden, v3.10-nél korábbi verziója;
- SICAM P855 (7KG8550-0AA10-0AA0) minden, v3.10-nél korábbi verziója;
- SICAM P855 (7KG8550-0AA10-2AA0) minden, v3.10-nél korábbi verziója;
- SICAM P855 (7KG8550-0AA30-0AA0) minden, v3.10-nél korábbi verziója;
- SICAM P855 (7KG8550-0AA30-2AA0) minden, v3.10-nél korábbi verziója;
- SICAM P855 (7KG8551-0AA01-0AA0) minden, v3.10-nél korábbi verziója;
- SICAM P855 (7KG8551-0AA01-2AA0) minden, v3.10-nél korábbi verziója;
- SICAM P855 (7KG8551-0AA02-0AA0) minden, v3.10-nél korábbi verziója;
- SICAM P855 (7KG8551-0AA02-2AA0) minden, v3.10-nél korábbi verziója;
- SICAM P855 (7KG8551-0AA11-0AA0) minden, v3.10-nél korábbi verziója;
- SICAM P855 (7KG8551-0AA11-2AA0) minden, v3.10-nél korábbi verziója;
- SICAM P855 (7KG8551-0AA12-0AA0) minden, v3.10-nél korábbi verziója;
- SICAM P855 (7KG8551-0AA12-2AA0) minden, v3.10-nél korábbi verziója;
- SICAM P855 (7KG8551-0AA31-0AA0) minden, v3.10-nél korábbi verziója;
- SICAM P855 (7KG8551-0AA31-2AA0) minden, v3.10-nél korábbi verziója;
- SICAM P855 (7KG8551-0AA32-0AA0) minden, v3.10-nél korábbi verziója;
- SICAM P855 (7KG8551-0AA32-2AA0) minden, v3.10-nél korábbi verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Session Fixation (CVE-2022-40226)/alacsony;
- Improper Neutralization of Parameter/Argument Delimiters (CVE-2022-41665)/kritikus;
Javítás: Elérhető
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2022.10.11.
Gyártó: Siemens
Érintett rendszer(ek):
- SIMATIC Drive Controller család minden, 2.9.2-nél korábbi verziója;
- SIMATIC ET 200SP Open Controller CPU 1515SP PC2 (beleértve a SIPLUS változatokat is) minden, 21.9-nél korábbi verziója;
- SIMATIC ET 200SP Open controller CPU 1515SP PC (beleértve a SIPLUS változatokat is) minden verziója;
- SIMATIC S7-1200 CPU család (beleértve a SIPLUS változatokat is) minden, V4.5.0-nál korábbi verziója;
- SIMATIC S7-1500 CPU család (beleértve az ET200-as CPU-kat és a SIPLUS változatokat is)minden, 2.9.2-nél korábbi verziója;
- SIMATIC S7-1500 Software Controller minden, 21.9-nél korábbi verziója;
- SIMCATIC S7-PLCSIM Advanced minden 4.0-nál korábbi verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Insufficiently Protected Credentials (CVE-2022-38465)/kritikus;
Javítás: Elérhető
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2022.10.11.
Gyártó: Siemens
Érintett rendszer(ek):
- Desigo PXM30-1 minden, V02.20.126.11-41-nél korábbi verziója;
- Desigo PXM30.E minden, V02.20.126.11-41-nél korábbi verziója;
- Desigo PXM40-1 minden, V02.20.126.11-41-nél korábbi verziója;
- Desigo PXM40.E minden, V02.20.126.11-41-nél korábbi verziója;
- Desigo PXM50-1 minden, V02.20.126.11-41-nél korábbi verziója;
- Desigo PXM50.E minden, V02.20.126.11-41-nél korábbi verziója;
- PXG3.W100-1 minden, V02.20.126.11-37-nél korábbi verziója;
- PXG3.W100-2 minden, V02.20.126.11-41-nél korábbi verziója;
- PXG3.W200-1 minden, V02.20.126.11-37-nél korábbi verziója;
- PXG3.W200-2 minden, V02.20.126.11-41-nél korábbi verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- OS Command Injection (CVE-2022-40176)/súlyos;
- Exposure of Sensitive Information to an Unauthorized Actor (CVE-2022-40177)/közepes;
- Cross-Site Scripting (CVE-2022-40178)/közepes;
- Cross-Site Request Forgery (CVE-2022-40179)/közepes;
- Cross-Site Request Forgery (CVE-2022-40180)/közepes;
- Improper Neutralization of Encoded URI Schemes in a Web Page (CVE-2022-40181)/súlyos;
- Execution with Unnecessary Privileges (CVE-2022-40182)/súlyos;
Javítás: Elérhető
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2022.10.11.
Gyártó: Siemens
Érintett rendszer(ek):
- Solid Edge minden, SE2022MP9-nél korábbi verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Heap-based Buffer Overflow (CVE-2022-37864)/súlyos;
Javítás: Elérhető
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2022.10.11.
Gyártó: Siemens
Érintett rendszer(ek):
- Industrial Edge Management minden, V1.5.1-nél korábbi verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Improper Certificate Validation (CVE-2022-40147)/súlyos;
Javítás: Elérhető
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2022.10.11.
Gyártó: Siemens
Érintett rendszer(ek):
- LOGO! 8 BM (beleértve a SIPLUS változatokat is) minden, 8.3-nál korábbi verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Insufficient Verification of Data Authenticity (CVE-2022-36360)/közepes;
Javítás: Elérhető
Link a publikációhoz: Siemens ProductCERT, ICS-CERT

Bejelentés dátuma: 2022.10.11.
Gyártó: Siemens
Érintett rendszer(ek):
- SIMATIC HMI Comfort Panels (beleértve a SIPLUS változatokat is) minden, V17 Update 4-nél korábbi verziója;
- SIMATIC HMI KTP400 Basic (6AV2123-2DB03-0AX0) minden, V17 Update 5-nél korábbi verziója;
- SIMATIC HMI KTP700 Basic (6AV2123-2GB03-0AX0) minden, V17 Update 5-nél korábbi verziója;
- SIMATIC HMI KTP900 Basic (6AV2123-2JB03-0AX0) minden, V17 Update 5-nél korábbi verziója;
- SIMATIC HMI KTP1200 Basic (6AV2123-2MB03-0AX0) minden, V17 Update 5-nél korábbi verziója;
- SIMATIC HMI KTP Mobile Panels minden, V17 Update 4-nél korábbi verziója;
- SIPLUS HMI KTP400 BASIC (6AG1123-2DB03-2AX0) minden, V17 Update 5-nél korábbi verziója;
- SIPLUS HMI KTP700 BASIC (6AG1123-2GB03-2AX0) minden, V17 Update 5-nél korábbi verziója;
- SIPLUS HMI KTP900 BASIC (6AG1123-2JB03-2AX0) minden, V17 Update 5-nél korábbi verziója;
- SIPLUS HMI KTP1200 BASIC (6AG1123-2MB03-2AX0) minden, V17 Update 5-nél korábbi verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Improper Input Validation (CVE-2022-40227)/súlyos;
Javítás: Elérhető
Link a publikációhoz: https://cert-portal.siemens.com/productcert/pdf/ssa-384224.pdf

Bejelentés dátuma: 2022.10.11.
Gyártó: Siemens
Érintett rendszer(ek):
- SCALANCE X200-4P IRT (6GK5200-4AH00-2BA3) minden, V5.5.0-nál korábbi verziója;
- SCALANCE X201-3P IRT (6GK5201-3BH00-2BA3) minden, V5.5.0-nál korábbi verziója;
- SCALANCE X201-3P IRT PRO (6GK5201-3JR00-2BA6) minden, V5.5.0-nál korábbi verziója;
- SCALANCE X202-2IRT (6GK5202-2BB10-2BA3) minden, V5.5.0-nál korábbi verziója;
- SCALANCE X202-2P IRT (6GK5202-2BH00-2BA3) minden, V5.5.0-nál korábbi verziója;
- SCALANCE X202-2P IRT PRO (6GK5202-2JR00-2BA6) minden, V5.5.0-nál korábbi verziója;
- SCALANCE X204-2 (6GK5204-2BB10-2AA3) minden, V5.2.5-nél korábbi verziója;
- SCALANCE X204-2FM (6GK5204-2BB11-2AA3) minden, V5.2.5-nél korábbi verziója;
- SCALANCE X204-2LD (6GK5204-2BC10-2AA3) minden, V5.2.5-nél korábbi verziója;
- SCALANCE X204-2LD TS (6GK5204-2BC10-2CA2) minden, V5.2.5-nél korábbi verziója;
- SCALANCE X204-2TS (6GK5204-2BB10-2CA2 )minden, V5.2.5-nél korábbi verziója;
- SCALANCE X204IRT (6GK5204-0BA00-2BA3) minden, V5.5.0-nál korábbi verziója;
- SCALANCE X204IRT PRO (6GK5204-0JA00-2BA6) minden, V5.5.0-nál korábbi verziója;
- SCALANCE X206-1 (6GK5206-1BB10-2AA3) minden, V5.2.5-nél korábbi verziója;
- SCALANCE X206-1LD (6GK5206-1BC10-2AA3) minden, V5.2.5-nél korábbi verziója;
- SCALANCE X208 (6GK5208-0BA10-2AA3) minden, V5.2.5-nél korábbi verziója;
- SCALANCE X208PRO (6GK5208-0HA10-2AA6) minden, V5.2.5-nél korábbi verziója;
- SCALANCE X212-2 (6GK5212-2BB00-2AA3) minden, V5.2.5-nél korábbi verziója;
- SCALANCE X212-2LD (6GK5212-2BC00-2AA3) minden, V5.2.5-nél korábbi verziója;
- SCALANCE X216 (6GK5216-0BA00-2AA3) minden, V5.2.5-nél korábbi verziója;
- SCALANCE X224 (6GK5224-0BA00-2AA3) minden, V5.2.5-nél korábbi verziója;
- SCALANCE XF201-3P IRT (6GK5201-3BH00-2BD2) minden, V5.5.0-nál korábbi verziója;
- SCALANCE XF202-2P IRT (6GK5202-2BH00-2BD2 )minden, V5.5.0-nál korábbi verziója;
- SCALANCE XF204 (6GK5204-0BA00-2AF2) minden, V5.2.5-nél korábbi verziója;
- SCALANCE XF204-2 (6GK5204-2BC00-2AF2) minden, V5.2.5-nél korábbi verziója;
- SCALANCE XF204-2BA IRT (6GK5204-2AA00-2BD2)minden, V5.5.0-nál korábbi verziója;
- SCALANCE XF204IRT (6GK5204-0BA00-2BF2) minden, V5.5.0-nál korábbi verziója;
- SCALANCE XF206-1 (6GK5206-1BC00-2AF2) minden, V5.2.5-nél korábbi verziója;
- SCALANCE XF208 (6GK5208-0BA00-2AF2) minden, V5.2.5-nél korábbi verziója;
- SIPLUS NET SCALANCE X202-2P IRT (6AG1202-2BH00-2BA3) minden, V5.5.0-nál korábbi verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Cross-site Scripting (CVE-2022-40631)/súlyos;
Javítás: Elérhető
Link a publikációhoz: https://cert-portal.siemens.com/productcert/pdf/ssa-501891.pdf

Bejelentés dátuma: 2022.10.11.
Gyártó: Siemens
Érintett rendszer(ek):
- RUGGEDCOM RM1224 LTE(4G) EU (6GK6108-4AM00-2BA2) minden verziója; < V7.1.2
- RUGGEDCOM RM1224 LTE(4G) NAM (6GK6108-4AM00-2DA2) minden verziója; < V7.1.2
- SCALANCE M804PB (6GK5804-0AP00-2AA2) minden verziója; < V7.1.2
- SCALANCE M812-1 ADSL-Router (Annex A) (6GK5812-1AA00-2AA2) minden verziója; < V7.1.2
- SCALANCE M812-1 ADSL-Router (Annex B) (6GK5812-1BA00-2AA2) minden verziója; < V7.1.2
- SCALANCE M816-1 ADSL-Router (Annex A) (6GK5816-1AA00-2AA2) minden verziója; < V7.1.2
- SCALANCE M816-1 ADSL-Router (Annex B) (6GK5816-1BA00-2AA2) minden verziója; < V7.1.2
- SCALANCE M826-2 SHDSL-Router (6GK5826-2AB00-2AB2) minden verziója; < V7.1.2
- SCALANCE M874-2 (6GK5874-2AA00-2AA2) minden verziója; < V7.1.2
- SCALANCE M874-3 (6GK5874-3AA00-2AA2) minden verziója; < V7.1.2
- SCALANCE M876-3 (EVDO) (6GK5876-3AA02-2BA2) minden verziója; < V7.1.2
- SCALANCE M876-3 (ROK) (6GK5876-3AA02-2EA2) minden verziója; < V7.1.2
- SCALANCE M876-4 (EU) (6GK5876-4AA00-2BA2) minden verziója; < V7.1.2
- SCALANCE M876-4 (NAM) (6GK5876-4AA00-2DA2) minden verziója; < V7.1.2
- SCALANCE MUM853-1 (EU) (6GK5853-2EA00-2DA1) minden verziója; < V7.1.2
- SCALANCE MUM856-1 (EU) (6GK5856-2EA00-3DA1) minden verziója; < V7.1.2
- SCALANCE MUM856-1 (RoW) (6GK5856-2EA00-3AA1) minden verziója; < V7.1.2
- SCALANCE SC622-2C (6GK5622-2GS00-2AC2) minden verziója;
- SCALANCE SC632-2C (6GK5632-2GS00-2AC2) minden verziója;
- SCALANCE SC636-2C (6GK5636-2GS00-2AC2) minden verziója;
- SCALANCE SC642-2C (6GK5642-2GS00-2AC2) minden verziója;
- SCALANCE SC646-2C (6GK5646-2GS00-2AC2) minden verziója;
- SCALANCE W721-1 RJ45 (6GK5721-1FC00-0AA0) minden verziója;
- SCALANCE W721-1 RJ45 (6GK5721-1FC00-0AB0) minden verziója;
- SCALANCE W722-1 RJ45 (6GK5722-1FC00-0AA0) minden verziója;
- SCALANCE W722-1 RJ45 (6GK5722-1FC00-0AB0) minden verziója;
- SCALANCE W722-1 RJ45 (6GK5722-1FC00-0AC0) minden verziója;
- SCALANCE W734-1 RJ45 (6GK5734-1FX00-0AA0) minden verziója;
- SCALANCE W734-1 RJ45 (6GK5734-1FX00-0AA6) minden verziója;
- SCALANCE W734-1 RJ45 (6GK5734-1FX00-0AB0) minden verziója;
- SCALANCE W734-1 RJ45 (USA) (6GK5734-1FX00-0AB6) minden verziója;
- SCALANCE W738-1 M12 (6GK5738-1GY00-0AA0) minden verziója;
- SCALANCE W738-1 M12 (6GK5738-1GY00-0AB0) minden verziója;
- SCALANCE W748-1 M12 (6GK5748-1GD00-0AA0) minden verziója;
- SCALANCE W748-1 M12 (6GK5748-1GD00-0AB0) minden verziója;
- SCALANCE W748-1 RJ45 (6GK5748-1FC00-0AA0) minden verziója;
- SCALANCE W748-1 RJ45 (6GK5748-1FC00-0AB0) minden verziója;
- SCALANCE W761-1 RJ45 (6GK5761-1FC00-0AA0) minden verziója;
- SCALANCE W761-1 RJ45 (6GK5761-1FC00-0AB0) minden verziója;
- SCALANCE W774-1 M12 EEC (6GK5774-1FY00-0TA0) minden verziója;
- SCALANCE W774-1 M12 EEC (6GK5774-1FY00-0TB0) minden verziója;
- SCALANCE W774-1 RJ45 (6GK5774-1FX00-0AA0) minden verziója;
- SCALANCE W774-1 RJ45 (6GK5774-1FX00-0AA6) minden verziója;
- SCALANCE W774-1 RJ45 (6GK5774-1FX00-0AB0) minden verziója;
- SCALANCE W774-1 RJ45 (6GK5774-1FX00-0AC0) minden verziója;
- SCALANCE W774-1 RJ45 (USA) (6GK5774-1FX00-0AB6) minden verziója;
- SCALANCE W778-1 M12 (6GK5778-1GY00-0AA0) minden verziója;
- SCALANCE W778-1 M12 (6GK5778-1GY00-0AB0) minden verziója;
- SCALANCE W778-1 M12 EEC (6GK5778-1GY00-0TA0) minden verziója;
- SCALANCE W778-1 M12 EEC (USA) (6GK5778-1GY00-0TB0) minden verziója;
- SCALANCE W786-1 RJ45 (6GK5786-1FC00-0AA0) minden verziója;
- SCALANCE W786-1 RJ45 (6GK5786-1FC00-0AB0) minden verziója;
- SCALANCE W786-2 RJ45 (6GK5786-2FC00-0AA0) minden verziója;
- SCALANCE W786-2 RJ45 (6GK5786-2FC00-0AB0) minden verziója;
- SCALANCE W786-2 RJ45 (6GK5786-2FC00-0AC0) minden verziója;
- SCALANCE W786-2 SFP (6GK5786-2FE00-0AA0) minden verziója;
- SCALANCE W786-2 SFP (6GK5786-2FE00-0AB0) minden verziója;
- SCALANCE W786-2IA RJ45 (6GK5786-2HC00-0AA0) minden verziója;
- SCALANCE W786-2IA RJ45 (6GK5786-2HC00-0AB0) minden verziója;
- SCALANCE W788-1 M12 (6GK5788-1GD00-0AA0) minden verziója;
- SCALANCE W788-1 M12 (6GK5788-1GD00-0AB0) minden verziója;
- SCALANCE W788-1 RJ45 (6GK5788-1FC00-0AA0) minden verziója;
- SCALANCE W788-1 RJ45 (6GK5788-1FC00-0AB0) minden verziója;
- SCALANCE W788-2 M12 (6GK5788-2GD00-0AA0) minden verziója;
- SCALANCE W788-2 M12 (6GK5788-2GD00-0AB0) minden verziója;
- SCALANCE W788-2 M12 EEC (6GK5788-2GD00-0TA0) minden verziója;
- SCALANCE W788-2 M12 EEC (6GK5788-2GD00-0TB0) minden verziója;
- SCALANCE W788-2 M12 EEC (6GK5788-2GD00-0TC0) minden verziója;
- SCALANCE W788-2 RJ45 (6GK5788-2FC00-0AA0) minden verziója;
- SCALANCE W788-2 RJ45 (6GK5788-2FC00-0AB0) minden verziója;
- SCALANCE W788-2 RJ45 (6GK5788-2FC00-0AC0) minden verziója;
- SCALANCE W1748-1 M12 (6GK5748-1GY01-0AA0) minden verziója;
- SCALANCE W1748-1 M12 (6GK5748-1GY01-0TA0) minden verziója;
- SCALANCE W1788-1 M12 (6GK5788-1GY01-0AA0) minden verziója;
- SCALANCE W1788-2 EEC M12 (6GK5788-2GY01-0TA0) minden verziója;
- SCALANCE W1788-2 M12 (6GK5788-2GY01-0AA0) minden verziója;
- SCALANCE W1788-2IA M12 (6GK5788-2HY01-0AA0) minden verziója;
- SCALANCE WAM763-1 (6GK5763-1AL00-7DA0) minden verziója;
- SCALANCE WAM766-1 (6GK5766-1GE00-7DA0) minden verziója;
- SCALANCE WAM766-1 (6GK5766-1GE00-7DB0) minden verziója;
- SCALANCE WAM766-1 6GHz (6GK5766-1JE00-7DA0) minden verziója;
- SCALANCE WAM766-1 EEC (6GK5766-1GE00-7TA0) minden verziója;
- SCALANCE WAM766-1 EEC (6GK5766-1GE00-7TB0) minden verziója;
- SCALANCE WAM766-1 EEC 6GHz (6GK5766-1JE00-7TA0) minden verziója;
- SCALANCE WUM763-1 (6GK5763-1AL00-3AA0) minden verziója;
- SCALANCE WUM763-1 (6GK5763-1AL00-3DA0) minden verziója;
- SCALANCE WUM766-1 (6GK5766-1GE00-3DA0) minden verziója;
- SCALANCE WUM766-1 (6GK5766-1GE00-3DB0) minden verziója;
- SCALANCE WUM766-1 6GHz (6GK5766-1JE00-3DA0) minden verziója;
- SCALANCE XB205-3 (SC, PN) (6GK5205-3BB00-2AB2) minden verziója;
- SCALANCE XB205-3 (ST, E/IP) (6GK5205-3BB00-2TB2) minden verziója;
- SCALANCE XB205-3 (ST, E/IP) (6GK5205-3BD00-2TB2) minden verziója;
- SCALANCE XB205-3 (ST, PN) (6GK5205-3BD00-2AB2) minden verziója;
- SCALANCE XB205-3LD (SC, E/IP) (6GK5205-3BF00-2TB2) minden verziója;
- SCALANCE XB205-3LD (SC, PN) (6GK5205-3BF00-2AB2) minden verziója;
- SCALANCE XB208 (E/IP) (6GK5208-0BA00-2TB2) minden verziója;
- SCALANCE XB208 (PN) (6GK5208-0BA00-2AB2) minden verziója;
- SCALANCE XB213-3 (SC, E/IP) (6GK5213-3BD00-2TB2) minden verziója;
- SCALANCE XB213-3 (SC, PN) (6GK5213-3BD00-2AB2) minden verziója;
- SCALANCE XB213-3 (ST, E/IP) (6GK5213-3BB00-2TB2) minden verziója;
- SCALANCE XB213-3 (ST, PN) (6GK5213-3BB00-2AB2) minden verziója;
- SCALANCE XB213-3LD (SC, E/IP) (6GK5213-3BF00-2TB2) minden verziója;
- SCALANCE XB213-3LD (SC, PN) (6GK5213-3BF00-2AB2) minden verziója;
- SCALANCE XB216 (E/IP) (6GK5216-0BA00-2TB2) minden verziója;
- SCALANCE XB216 (PN) (6GK5216-0BA00-2AB2) minden verziója;
- SCALANCE XC206-2 (SC) (6GK5206-2BD00-2AC2) minden verziója;
- SCALANCE XC206-2 (ST/BFOC) (6GK5206-2BB00-2AC2) minden verziója;
- SCALANCE XC206-2G PoE (6GK5206-2RS00-2AC2) minden verziója;
- SCALANCE XC206-2G PoE (54 V DC) (6GK5206-2RS00-5AC2) minden verziója;
- SCALANCE XC206-2G PoE EEC (54 V DC) (6GK5206-2RS00-5FC2) minden verziója;
- SCALANCE XC206-2SFP (6GK5206-2BS00-2AC2) minden verziója;
- SCALANCE XC206-2SFP EEC (6GK5206-2BS00-2FC2) minden verziója;
- SCALANCE XC206-2SFP G (6GK5206-2GS00-2AC2) minden verziója;
- SCALANCE XC206-2SFP G (EIP DEF.) (6GK5206-2GS00-2TC2) minden verziója;
- SCALANCE XC206-2SFP G EEC (6GK5206-2GS00-2FC2) minden verziója;
- SCALANCE XC208 (6GK5208-0BA00-2AC2) minden verziója;
- SCALANCE XC208EEC (6GK5208-0BA00-2FC2) minden verziója;
- SCALANCE XC208G (6GK5208-0GA00-2AC2) minden verziója;
- SCALANCE XC208G (EIP def.) (6GK5208-0GA00-2TC2) minden verziója;
- SCALANCE XC208G EEC (6GK5208-0GA00-2FC2) minden verziója;
- SCALANCE XC208G PoE (6GK5208-0RA00-2AC2) minden verziója;
- SCALANCE XC208G PoE (54 V DC) (6GK5208-0RA00-5AC2) minden verziója;
- SCALANCE XC216 (6GK5216-0BA00-2AC2) minden verziója;
- SCALANCE XC216-3G PoE (6GK5216-3RS00-2AC2) minden verziója;
- SCALANCE XC216-3G PoE (54 V DC) (6GK5216-3RS00-5AC2) minden verziója;
- SCALANCE XC216-4C (6GK5216-4BS00-2AC2) minden verziója;
- SCALANCE XC216-4C G (6GK5216-4GS00-2AC2) minden verziója;
- SCALANCE XC216-4C G (EIP Def.) (6GK5216-4GS00-2TC2) minden verziója;
- SCALANCE XC216-4C G EEC (6GK5216-4GS00-2FC2) minden verziója;
- SCALANCE XC216EEC (6GK5216-0BA00-2FC2) minden verziója;
- SCALANCE XC224 (6GK5224-0BA00-2AC2) minden verziója;
- SCALANCE XC224-4C G (6GK5224-4GS00-2AC2) minden verziója;
- SCALANCE XC224-4C G (EIP Def.) (6GK5224-4GS00-2TC2) minden verziója;
- SCALANCE XC224-4C G EEC (6GK5224-4GS00-2FC2) minden verziója;
- SCALANCE XF204 (6GK5204-0BA00-2GF2) minden verziója;
- SCALANCE XF204 DNA (6GK5204-0BA00-2YF2) minden verziója;
- SCALANCE XF204-2BA (6GK5204-2AA00-2GF2) minden verziója;
- SCALANCE XF204-2BA DNA (6GK5204-2AA00-2YF2) minden verziója;
- SCALANCE XM408-4C (6GK5408-4GP00-2AM2) minden verziója;
- SCALANCE XM408-4C (L3 int.) (6GK5408-4GQ00-2AM2) minden verziója;
- SCALANCE XM408-8C (6GK5408-8GS00-2AM2) minden verziója;
- SCALANCE XM408-8C (L3 int.) (6GK5408-8GR00-2AM2) minden verziója;
- SCALANCE XM416-4C (6GK5416-4GS00-2AM2) minden verziója;
- SCALANCE XM416-4C (L3 int.) (6GK5416-4GR00-2AM2) minden verziója;
- SCALANCE XP208 (6GK5208-0HA00-2AS6) minden verziója;
- SCALANCE XP208 (Ethernet/IP) (6GK5208-0HA00-2TS6) minden verziója;
- SCALANCE XP208EEC (6GK5208-0HA00-2ES6) minden verziója;
- SCALANCE XP208PoE EEC (6GK5208-0UA00-5ES6) minden verziója;
- SCALANCE XP216 (6GK5216-0HA00-2AS6) minden verziója;
- SCALANCE XP216 (Ethernet/IP) (6GK5216-0HA00-2TS6) minden verziója;
- SCALANCE XP216EEC (6GK5216-0HA00-2ES6) minden verziója;
- SCALANCE XP216POE EEC (6GK5216-0UA00-5ES6) minden verziója;
- SCALANCE XR324WG (24 x FE, AC 230V) (6GK5324-0BA00-3AR3) minden verziója;
- SCALANCE XR324WG (24 X FE, DC 24V) (6GK5324-0BA00-2AR3) minden verziója;
- SCALANCE XR326-2C PoE WG (6GK5326-2QS00-3AR3) minden verziója;
- SCALANCE XR326-2C PoE WG (without UL) (6GK5326-2QS00-3RR3) minden verziója;
- SCALANCE XR328-4C WG (24xFE,4xGE,AC230V) (6GK5328-4FS00-3AR3) minden verziója;
- SCALANCE XR328-4C WG (24xFE,4xGE,AC230V) (6GK5328-4FS00-3RR3) minden verziója;
- SCALANCE XR328-4C WG (24XFE, 4XGE, 24V) (6GK5328-4FS00-2AR3) minden verziója;
- SCALANCE XR328-4C WG (24xFE,4xGE,DC24V) (6GK5328-4FS00-2RR3) minden verziója;
- SCALANCE XR328-4C WG (28xGE, AC 230V) (6GK5328-4SS00-3AR3) minden verziója;
- SCALANCE XR328-4C WG (28xGE, DC 24V) (6GK5328-4SS00-2AR3) minden verziója;
- SCALANCE XR524-8C, 1x230V (6GK5524-8GS00-3AR2) minden verziója;
- SCALANCE XR524-8C, 1x230V (L3 int.) (6GK5524-8GR00-3AR2) minden verziója;
- SCALANCE XR524-8C, 2x230V (6GK5524-8GS00-4AR2) minden verziója;
- SCALANCE XR524-8C, 2x230V (L3 int.) (6GK5524-8GR00-4AR2) minden verziója;
- SCALANCE XR524-8C, 24V (6GK5524-8GS00-2AR2) minden verziója;
- SCALANCE XR524-8C, 24V (L3 int.) (6GK5524-8GR00-2AR2) minden verziója;
- SCALANCE XR526-8C, 1x230V (6GK5526-8GS00-3AR2) minden verziója;
- SCALANCE XR526-8C, 1x230V (L3 int.) (6GK5526-8GR00-3AR2) minden verziója;
- SCALANCE XR526-8C, 2x230V (6GK5526-8GS00-4AR2) minden verziója;
- SCALANCE XR526-8C, 2x230V (L3 int.) (6GK5526-8GR00-4AR2) minden verziója;
- SCALANCE XR526-8C, 24V (6GK5526-8GS00-2AR2) minden verziója;
- SCALANCE XR526-8C, 24V (L3 int.) (6GK5526-8GR00-2AR2) minden verziója;
- SCALANCE XR528-6M (6GK5528-0AA00-2AR2) minden verziója;
- SCALANCE XR528-6M (2HR2) (6GK5528-0AA00-2HR2) minden verziója;
- SCALANCE XR528-6M (2HR2, L3 int.) (6GK5528-0AR00-2HR2) minden verziója;
- SCALANCE XR528-6M (L3 int.) (6GK5528-0AR00-2AR2) minden verziója;
- SCALANCE XR552-12M (6GK5552-0AA00-2AR2) minden verziója;
- SCALANCE XR552-12M (2HR2) (6GK5552-0AA00-2HR2) minden verziója;
- SCALANCE XR552-12M (2HR2) (6GK5552-0AR00-2HR2) minden verziója;
- SCALANCE XR552-12M (2HR2, L3 int.) (6GK5552-0AR00-2AR2) minden verziója;
- SIPLUS NET SCALANCE XC206-2 (6AG1206-2BB00-7AC2) minden verziója;
- SIPLUS NET SCALANCE XC206-2SFP (6AG1206-2BS00-7AC2) minden verziója;
- SIPLUS NET SCALANCE XC208 (6AG1208-0BA00-7AC2) minden verziója;
- SIPLUS NET SCALANCE XC216-4C (6AG1216-4BS00-7AC2) minden verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Missing Authorization (CVE-2022-31765)/súlyos;
Javítás: Egyes érintett termékekhez elérhető.
Link a publikációhoz: https://cert-portal.siemens.com/productcert/pdf/ssa-552702.pdf

Bejelentés dátuma: 2022.10.11.
Gyártó: Siemens
Érintett rendszer(ek):
- SIMATIC Drive Controller család minden, V2.9.2-nél korábbi verziója;
- SIMATIC ET 200SP Open Controller CPU 1515SP PC2 (beleértve a SIPLUS változatokat is) minden, V21.9-nél korábbi verziója;
- SIMATIC ET 200SP Open Controller CPU 1515SP PC (beleértve a SIPLUS változatokat is) minden verziója;
- SIMATIC S7-1200 CPU family (beleértve a SIPLUS változatokat is): All versions < V4.5.0
- SIMATIC S7-1500 CPU family (beleértve az ET200-as CPU-kat és a SIPLUS változatokat is) minden, V2.9.2-nél korábbi verziója;
- SIMATIC S7-1500 Software Controller minden, V21.9-nél korábbi verziója;
- SIMATIC S7-PLCSIM Advanced minden, V4.0-nál korábbi verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Insufficiently Protected Credentials (CVE-2022-38465)/kritikus;
Javítás: Elérhető
Link a publikációhoz: https://cert-portal.siemens.com/productcert/pdf/ssa-568427.pdf

Bejelentés dátuma: 2022.10.11.
Gyártó: Siemens
Érintett rendszer(ek):
- JTTK minden, V11.1.1.0-nál korábbi verziója;
- Simcenter Femap V2022.1 minden, V2022.1.3-nál korábbi verziója;
- Simcenter Femap V2022.2 minden, V2022.2.2-nél korábbi verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Access of Uninitialized Pointer (CVE-2022-41851)/súlyos;
Javítás: Elérhető
Link a publikációhoz: https://cert-portal.siemens.com/productcert/pdf/ssa-611756.pdf

Bejelentés dátuma: 2022.10.11.
Gyártó: Siemens
Érintett rendszer(ek):
- Cerberus DMS minden verziója;
- Desigo CC minden verziója;
- Desigo CC Compact minden verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Use of Client-Side Authentication (CVE-2022-33139)/kritikus;
Javítás: Nincs
Link a publikációhoz: https://cert-portal.siemens.com/productcert/pdf/ssa-836027.pdf

Bejelentés dátuma: 2022.10.11.
Gyártó: Siemens
Érintett rendszer(ek):
- Siveillance Video Mobile Server V2022 R2 minden, V22.2a (80)-nál korábbi verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Weak Authentication (CVE-2022-43400)/kritikus;
Javítás: Elérhető
Link a publikációhoz: https://cert-portal.siemens.com/productcert/pdf/ssa-640732.pdf

Bejelentés dátuma: 2022.10.11.
Gyártó: Siemens
Érintett rendszer(ek):
- APOGEE MBC (PPC) (BACnet) minden verziója;
- APOGEE MBC (PPC) (P2 Ethernet) minden verziója;
- APOGEE MEC (PPC) (BACnet) minden verziója;
- APOGEE MEC (PPC) (P2 Ethernet) minden verziója;
- APOGEE PXC Compact (BACnet) minden verziója;
- APOGEE PXC Compact (P2 Ethernet) minden verziója;
- APOGEE PXC Modular (BACnet) minden verziója;
- APOGEE PXC Modular (P2 Ethernet) minden verziója;
- Desigo PXC00-E.D minden, V2.3-nál újabb verziója;
- Desigo PXC00-U minden, V2.3-nál újabb verziója;
- Desigo PXC001-E.D minden, V2.3-nál újabb verziója;
- Desigo PXC12-E.D minden, V2.3-nál újabb verziója;
- Desigo PXC22-E.D minden, V2.3-nál újabb verziója;
- Desigo PXC22.1-E.D minden, V2.3-nál újabb verziója;
- Desigo PXC36.1-E.D minden, V2.3-nál újabb verziója;
- Desigo PXC50-E.D minden, V2.3-nál újabb verziója;
- Desigo PXC64-U minden, V2.3-nál újabb verziója;
- Desigo PXC100-E.D minden, V2.3-nál újabb verziója;
- Desigo PXC128-U minden, V2.3-nál újabb verziója;
- Desigo PXC200-E.D minden, V2.3-nál újabb verziója;
- Desigo PXM20-E minden, V2.3-nál újabb verziója;
- TALON TC Compact (BACnet) minden verziója;
- TALON TC Modular (BACnet) minden verziója;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Uncontrolled Resource Consumption (CVE-2022-38371)/súlyos;
Javítás: Nincs
Link a publikációhoz: https://cert-portal.siemens.com/productcert/pdf/ssa-935500.pdf

Bejelentés dátuma: 2022.10.13.
Gyártó: Hitachi Energy
Érintett rendszer(ek):
- Lumada Asset Performance Manager (APM) online service (SaaS) 6.3.220323.0 és korábbi verziói;
- Lumada Asset Performance Manager (APM) 6.0.0.0-tól 6.0.0.4-ig terjedő verziói;
- Lumada Asset Performance Manager (APM) 6.1.0.0 és 6.1.0.1 verziói;
- Lumada Asset Performance Manager (APM) 6.2.0.0-tól 6.2.0.2-ig terjedő verziói;
- Lumada Asset Performance Manager (APM) 6.3.0.0-tól 6.3.0.2-ig terjedő verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Allocation of Resources Without Limits or Throttling (CVE-2022-22950)/alacsony;
- Code injection (CVE-2022-22965)/súlyos;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-22-286-05

Bejelentés dátuma: 2022.10.18.
Gyártó: Advantech
Érintett rendszer(ek):
- R-SeeNet 2.4.19-es és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Path Traversal (CVE-2022-3387)/közepes;
- Stack-based Buffer Overflow (CVE-2022-3386)/kritikus;
- Stack-based Buffer Overflow (CVE-2022-3385)/kritikus;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-22-291-01

Bejelentés dátuma: 2022.10.20.
Gyártó: Bentley Systems
Érintett rendszer(ek):
- MicroStation Connect v10.17.0.209-es és korábbi verziói;
Sérülékenység(ek) neve/CVSSv3 szerinti besorolása:
- Stack-based Buffer Overflow (CVE-2022-40201)/súlyos;
- Out-of-bounds Read (CVE-2022-41613)/súlyos;
Javítás: Elérhető
Link a publikációhoz: https://www.cisa.gov/uscert/ics/advisories/icsa-22-293-01

A fenti sérülékenységekkel kapcsolatban az ICS-CERT az alábbi kockázatcsökkentő intézkedések fontosságát hangsúlyozza:

- Minimálisra kell csökkenteni az ipari/egészségügyi rendszerek/hálózatok kapcsolatát az Internettel, az ilyen eszközök közvetlen Internetre történő csatlakoztatását kerülni kell;
- Az ipari/egészségügyi rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari/egészségügyi rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak;
- Amikor csak lehetséges el kell távolítani, le kell tiltani vagy meg kell változtatni az alapértelmezett felhasználói fiókok nevét és jelszavát;
- A nyers erőn (brute force) alapuló jelszótörések elleni védekezés jegyében felhasználói fiók-kizárási szabályokat célszerű alkalmazni;
- Erős jelszavak alkalmazását kikényszerítő szabályokat kell alkalmazni;
- Harmadik féltől származó alkalmazással célszerű monitorozni az adminisztrátori szintű jogosultságok kiadását;
- Az alapértelmezett beállításokat, amennyiben lehetséges, meg kell változtatni;
- A futó szolgáltatások hardening-jét célszerű elvégezni (csak azok a szolgáltatások fussanak, amik nélkülözhetetlenek);
- Biztonságos felhasználókezelési és hozzáférési szabályokat kell életbe léptetni;
- A megbízhatónak tartott firmware és szoftver-verziókból célszerű (valamilyen szinten tűzálló páncélszekrényben) elzárt fizikai példányokkal rendelkezni (lehetőleg egyszer írható adathordozón, pl. CD/DVD, stb.);
- Ismerni kell a normális működéshez tartozó hálózati forgalmat;
- Ki kell alakítani a biztonsági naplózás és naplóelemzés képességét és ezekre építve a megfelelő riasztási eljárásokat;
- Az új beállításokat labor körülmények között célszerű tesztelni, mielőtt az éles (és tartalék) rendszerekben alkalmaznák azokat.

Az orosz-ukrán háború első fél éve után még ha akarnánk se igen lehetne vitatni (én személy szerint nem is akarom), hogy az olaj- és gázszektor (együtt a villamosenergia-szektorral) talán a leginkább fókuszba kerülő ipari területek lettek, kiberbiztonsági szempontból is. Ezt felismerve született a TrendMicro munkatársainak tollából augusztusban egy három részes cikksorozat az olaj- és gázszektor kiberbiztonságáról, amit részben egy általuk végzett felmérés adataiból állítottak össze.

Az első részben bemutatják egy átlagos olaj- és/vagy gázipari cég infrastruktúráját és röviden ismertetik a leggyakoribb fenyegetéseket (szabotázs, belső emberek jelentette fenyegetések, kémkedés és adatlopás, DNS-eltérítés, támadások a webmail- és céges VPN-infrastruktúra ellen, adatszivárgás, külső e-mail-alapú támadások).

A második részben folytatják a fontosabb fenyegetések (zsarolóvírusok, egyéb malware-ek, webshell-ek, cookie-k, DNS tunnellek és e-mail kommunikáció, mint Command&Control illetve adatlopásra használható eszközök, 0-day sérülékenységeket kihasználó exploitok, mobil eszközökre írt malware-ek, Bluetooth kommunikáció és felhős szolgáltatások, mint a támadók eszközei) rövid ismertetését, a harmadik részben pedig egy esettanulmányon keresztül mutatják be, hogyan is tud egy felkészült, állami háttérrel rendelkező APT csoport (az APT33, a Dragos terminológiája szerint a Magnallium csoport) hosszú ideig hozzáférést szerezni egy nagy olajvállalat rendszereihez.

Az ipari folyamatirányítórendszerek esetén az utóbbi időszakban egyre inkább az elmélet, hogy a zero trust-alapú hálózati architektúra-tervezésnek igenis van létjogosultsága. De mi is az a zero trust biztonsági modell (amit időnként neveznek határvédelem nélküli biztonsági megközelítésnek is)? Ha egyetlen mondatban kéne összefoglalni, akkor talán arról szól, hogy feltételezzük, hogy a támadókat a határvédelmi megoldásaink nem voltak képesek megállítani és már a belső (IT) hálózatainkban is rendelkeznek hozzáféréssel egyes erőforrásainkhoz és ebből kiindulva építsünk olyan biztonsági rendszereket és kontrollokat, amik ilyen esetekben is biztosítják a szervezet kiberbiztonsági csapata számára a hatékony ellenlépések lehetőségét az incidensek megelőzése, észlelése és mielőbbi felszámolása érdekében. Kicsit bővebben, a zero trust kifejezést még 1994-ben, a Stirling-i egyetemen doktorandusz Stephen Paul Marsh alkotta meg, az első zero trust architektúrát pedig a Google építette fel 2009-ben. A zero trust ideje ezek ellenére igazán 2018-ra jött el, amikor a NIST és az NCCoE munkatársai elkészítették a NIST SP 800-207-es számú publikációját. A ZT architektúra-tervezés során kiemelt szerep jut a felhasználók és az IT eszközök authentikációjának, vagyis senki és semmi nem kommunikálhat egy ZT szerint tervezett hálózaton, akit és amit nem tudtunk megbízhatóan beazonosítani.

Figyelembe véve, hogy az ICS rendszerek jellemzően az egyes szervezetek számára a leginkább kritikus rendszerek közé tartoznak, nem tűnik túlzásnak azt mondani, hogy ha valahol, hát pont az ICS rendszerek esetén van értelme a ZT architektúra alkalmazásának. Van azonban néhány (nem is mindig kicsi) probléma. A ZT architektúráknak van néhány olyan alapelve, mint például a kommunikáció (és a tárolt adatok) titkosítása vagy például a tanúsítvány-alapú authentikációra való képesség. Azonban pont az ICS eszközök és rendszerek (különösen az egy-másfél-két évtizedes vagy még régebbi rendszer-komponensek) korántsem biztos, hogy képesek ezeknek a biztonsági megoldásoknak a használatára.

A fentiek ellenére azért van nem kevés olyan ötlet és intézkedés a ZT-ban, amiknek az alkalmazását meg lehet fontolni az ICS rendszerek esetén:

- Célszerű azonosítani az összes, az ICS rendszerhez kapcsolódó (kimenő, bejövő és az ICS rendszer elemei közötti belső) hálózati kommunikációt (ez egyébként sem haszontalan dolog, a CIS biztonsági kontrollok hardver- és szoftver-leltárja mellett minden rendszer esetén célszerűnek tartanám egy komplett hálózati kommunikáció-leltárt is elkészíteni);
- A minimálisan szükségesre kell szűkíteni az ICS rendszer elemeihez történő távoli hozzáférést (és ezeket is célszerűnek tartom minden esetben egy privilégizált felhasználó menedzsment rendszeren keresztül biztosítani);
- Természetesen minimalizálni kell a rendszerhez hozzáféréssel rendelkező felhasználók jogait a feladatvégzéshez szükséges szintre;
- Erős (egyes publikációk megfogalmazása szerint adathalász-támadásoknak ellenálló) authentikációs megoldásokat kell használni (praktikusan multifaktor authentikációt);
- Ahol a hálózati kommunikáció ezt lehetővé teszi, célszerű lehet egyirányú átjárókat (unidirectional gateway-eket) használni;
- A logikai biztonsági kontrollokat fizikai hozzáférési kontrollokkal történő kiegészítését célszerű megvalósítani (a holisztikus biztonsági megközelítés egyébként is jóval hatékonyabb lehet, hiszen nem egy olyan helyzet adódhat, amikor egy egyszerű fizikai kontroll sokkal nagyobb kockázatcsökkentést eredményezhet, mint egy bonyolult - és éppen ezért drága - logikai kontroll alkalmazásával lenne elérhető);

A ZT egy másik kulcsfontosságú komponense az átfogó (biztonsági) monitoring képesség, vagyis a ZT hálózat minél több komponenséből kell logokat gyűjteni egy jól konfigurált SIEM rendszerbe. Viszont ahhoz, hogy egy ICS rendszerből a logokat egy SIEM rendszerbe hatékonyan lehessen gyűjteni, nagyon jó folyamatirányítási (villamos-, gépész-, vegyész-, stb.) mérnöki és kiberbiztonsági szakemberek első osztályú együttműködésére van szükség, különben már az ICS alkalmazások naplóbejegyzéseinek feldolgozása is nagyon komoly kihívást jelenthet az érintett szervezeteknek. Ez pedig megint ugyanazt a (nehezen feloldható) problémát hozza elénk, hogy egy jó IT-OT-kiberbiztonsági együttműködés nélkül az ICS kiberbiztonsági erőfeszítések szinte biztosan kudarcra vannak ítélve. Márpedig jelenleg azt látom, hogy a technológiai fejlődés (úgy az új IT/IoT technológiák ICS implementációja, mint az új IT technológiák kockázataira adott válaszként megjelenő IT biztonsági eszközök és technikák) gyorsabban fejlődnek, mint ahogy az ICS kiberbiztonsági téma szereplői az együttműködés terén ezt le tudnák követni. Így pedig jelenleg nagyon is kérdésesnek érzem, hogy mennyire lehet hatékony a ZT az OT környezetekben. Az érintett ipari szervezetek számára talán az lehet a legjobb megközelítés, hogy a Purdue-modellt már megfelelően alkalmazó hálózataikban a ZT bevezetését az L4-nél kezdik és haladnak "lefelé" az ICS DMZ, L3, L2 útvonalon - és nagyjából ez lehet az a pont, amíg komolyabb fennakadások nélkül meg fognak tudni tenni.

A Temple University-hez tartozó Szabad Művészetek Főiskoláján 2019. szeptemberében indult egy kutatás, amiben kritikus infrastruktúrák elleni ransomware-támadásokkal kapcsolatos adatokat gyűjtik és rendszerezik. Mostanra már a 12.2-es verziónál járnak és 1263 rekord található az adatbázisukban.

Az adatbázis szerint a 10 leggyakoribb, kritikus infrastruktúrák ellen használt zsarolóvírus az alábbiak:

1. Maze
2. Revil/sodinokibi
3. Ryuk
4. Conti
5. WannaCry
6. Netwalker
7. DoppelPaymer
8. LockBit
9. RansomEx
10. Samsam

A kutatók által gyűjtött adatok alapján a legtöbb támadás eddig 2020-ban történt, a második legtöbb 2021-ben és 2022 várhatóan a harmadik legtöbb támadás várható (2022.07.31-ig idén már 118 incidensről vannak adatok az adatbázisban).

További részleteket, hozzáférést a teljes adatbázishoz vagy hozzájárulni az adatbázis építéséhez további, kritikus infrastruktúrák elleni ransomware-támadások adataival a Temple Egyetem weboldalán lehet: https://sites.temple.edu/care/cira/