ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Hitachi Energy, mySCADA Technologies, Industrial Control Links ve Nexx ürünlerini etkileyen kritik kusurlara karşı uyarıda bulunan sekiz Endüstriyel Kontrol Sistemleri (ICS) tavsiyesi yayınladı.
Listenin başında, Hitachi Energy’nin MicroSCADA Sistem Veri Yöneticisi SDM600’ü etkileyen ve bir saldırganın ürünün uzaktan kontrolünü ele geçirmesine olanak tanıyan CVE-2022-3682 (CVSS puanı: 9,9) yer alıyor.
Kusur, dosya izin doğrulamasıyla ilgili bir sorundan kaynaklanır ve böylece bir rakibin özel olarak hazırlanmış bir mesajı sisteme yüklemesine izin vererek keyfi kod yürütülmesine yol açar.
Hitachi Energy, sürüm 1.2 FP3 HF4’ten (Derleme No. 1.2.23000.291) önceki SDM600 sürümlerindeki sorunu azaltmak için SDM600 1.3.0.1339’u piyasaya sürdü.
CVE-2023-28400, CVE-2023-28716, CVE-2023-28384, CVE-2023-29169 ve CVE-2023-29150 (CVSS puanları: 9,9) olmak üzere beş kritik güvenlik açığından oluşan başka bir grup, mevcut komut enjeksiyon hatalarıyla ilgilidir. mySCADA myPRO sürüm 8.26.0 ve önceki sürümlerde.
CISA, kullanıcıları 8.29.0 veya daha yüksek bir sürüme güncellemeye çağırarak, “Bu güvenlik açıklarının başarılı bir şekilde kullanılması, kimliği doğrulanmış bir kullanıcının rastgele işletim sistemi komutları enjekte etmesine izin verebilir.”
Endüstriyel Kontrol Bağlantıları ScadaFlex II SCADA Denetleyicilerinde (CVE-2022-25359, CVSS puanı: 9.1) kimliği doğrulanmış bir saldırganın dosyaların üzerine yazmasına, silmesine veya oluşturmasına izin verebilecek kritik bir güvenlik hatası da açıklandı.
Ajans, “Industrial Control Links, işlerini kapattığını bildirdi” dedi. “Bu ürünün kullanım ömrü sona ermiş olarak kabul edilebilir; bu ürün için sürekli destek sağlanamayabilir.”
Kullanıcıların ağ maruziyetini en aza indirmeleri, kontrol sistemi ağlarını iş ağlarından izole etmeleri ve potansiyel riskleri ele almak için bunları güvenlik duvarlarının arkasına yerleştirmeleri önerilir.
Listenin tamamlanması, Nexx tarafından satılan garaj kapısı denetleyicilerini, akıllı prizleri ve akıllı alarmları etkileyen bir kritik hata (CVE-2023-1748, CVSS puanı: 9.3) dahil olmak üzere beş eksikliktir.
Sorunları keşfeden ve bildiren güvenlik araştırmacısı Sam Sabetan’a göre, tehdit aktörlerinin ev garaj kapılarını kırmasına, akıllı prizleri ele geçirmesine ve akıllı alarmların uzaktan kontrolünü ele geçirmesine olanak sağlayabilecek güvenlik açıkları.
Kimlik Çevresini Korumayı Öğrenin – Kanıtlanmış Stratejiler
Uzman liderliğindeki siber güvenlik web seminerimizle işletmenizin güvenliğini artırın: Kimlik Çevresi stratejilerini keşfedin!
Fırsatı Kaçırmayın – Koltuğunuzu Kaydedin!
Nexx akıllı ev cihazlarının aşağıdaki sürümleri etkilenir –
- Nexx Garaj Kapısı Kontrol Cihazı (NXG-100B, NXG-200) – Sürüm nxg200v-p3-4-1 ve öncesi
- Nexx Smart Plug (NXPG-100W) – Sürüm nxpg100cv4-0-0 ve öncesi
- Nexx Akıllı Alarm (NXAL-100) – Sürüm nxal100v-p1-9-1ve öncesi
CISA, “Bu güvenlik açıklarının başarılı bir şekilde kullanılması, bir saldırganın hassas bilgiler almasına, uygulama programlanabilir arabirim (API) isteklerini yürütmesine veya cihazları ele geçirmesine izin verebilir.” Dedi.