Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Endüstriyel Kontrol Sistemlerini (ICS) etkileyen güvenlik açıkları hakkında sekiz ayrıntılı tavsiye yayınladı.
Bu güvenlik açıkları, çeşitli sektörlerdeki kritik yazılım ve donanımları etkileyerek hizmet kesintisi, yetkisiz erişim ve kötü amaçlı kod yürütme risklerini doğurur.
Aşağıda temel güvenlik açıkları, bunlarla ilişkili Ortak Güvenlik Açıkları ve Etkilenmeler (CVE’ler) ve azaltma önerileri yer almaktadır.
1. Hitachi Energy SDM600: Ayrıcalığın Yükseltilmesi ve Bilgi İfşası
Hitachi Energy SDM600 platformu iki önemli kusura karşı savunmasızdır: Kaynak Doğrulama Hatası ve Yanlış Yetkilendirme.
CVE-2024-2377 olarak tanımlanan Kaynak Doğrulama Hatası, aşırı hoşgörülü bir HTTP yanıt başlığı yapılandırmasından kaynaklanır. Bu yapılandırma, saldırganların ayrıcalıklı eylemler yürütmesine ve hassas verilere erişmesine olanak tanıyabilir.
API güvenlik açığı ve Sızma Testi için En İyi Uygulamalar Konulu Ücretsiz Web Semineri: Ücretsiz Kayıt
CVE-2024-2378 olarak takip edilen Yanlış Yetkilendirme, kimlik doğrulama sistemindeki zayıflıklardan kaynaklanır ve ayrıcalık yükseltmeye olanak tanır.
Bu güvenlik açıklarının CVSS puanları sırasıyla 7,6 ve 8,0 olup kritik doğalarını vurgulamaktadır. Bu riskleri gidermek için sürüm 1.3.4 veya sonraki bir sürüme yükseltme yapılması gerekir.
2. Hitachi Energy RTU500 Serisi CMU: Arabellek Taşması Güvenlik Açığı
Hitachi Energy’nin RTU500 serisi CMU donanım yazılımı, CVE-2023-6711 olarak tanımlanan bir Arabellek Taşması güvenlik açığından etkileniyor.
SCI ve HCI IEC 60870-5-104 bileşenlerinde hatalı giriş verileri doğrulaması, saldırganların kötü amaçla hazırlanmış mesajlar göndermesine izin vererek olası bir hizmet reddi durumuna yol açar.
Güvenlik açığının CVSS v3 puanı 5,9’dur. Bu potansiyel saldırı vektörünü azaltmak için kullanıcıların ürün yazılımlarını en son sürümlere güncellemeleri önerilir.
3. Delta Electronics DTM Soft: Keyfi Kod Yürütme
Delta Electronics’in DTM Soft, sürüm 1.30 ve önceki sürümleri, CVE-2024-12677 olarak tanımlanan Güvenilmeyen Verilerin Seri durumdan Çıkarılması kusuruna karşı savunmasızdır.
Bu güvenlik açığı, saldırganların yazılımın seri durumdan çıkarma işlevini kullanarak rastgele kod yürütmesine olanak tanır.
CVSS v3 puanı 7,8 ve CVSS v4 puanı 8,5 olup, yüksek riski ve düşük kullanım karmaşıklığını vurgulamaktadır. Kullanıcıların sistemlerini korumak için DTM Soft’un en son sürümüne yükseltmeleri gerekir.
4. Siemens Kullanıcı Yönetimi Bileşeni: Uzaktan Kod Yürütme
SIMATIC PCS neo ve TIA Portal da dahil olmak üzere Siemens ürünleri, CVE-2024-49775 olarak tanımlanan Yığın Tabanlı Arabellek Taşmasına karşı savunmasızdır.
Bu kusur, kimliği doğrulanmamış saldırganların uzaktan rastgele kod yürütmesine olanak tanıyarak kritik altyapı için ciddi riskler oluşturur.
CVSS v3 puanı 9,8 ve CVSS v4 puanı 9,3 olan bu durum, bu danışma belgesinde tanımlanan en ciddi güvenlik açıkları arasındadır. Siemens, tüm kullanıcılara Siemens ProductCERT aracılığıyla sunulan en son yamaları uygulamalarını tavsiye etti.
5. Tibbo AggreGate Ağ Yöneticisi: Dosya Yüklemeden Yararlanma
Tibbo’nun AggreGate Ağ Yöneticisi, CVE-2024-12700 olarak izlenen Sınırsız Dosya Yükleme güvenlik açığından etkileniyor.
Düşük ayrıcalıklara sahip bir saldırgan, JSP kabukları gibi kötü amaçlı dosyaları web sunucusuyla aynı düzeyde izinlerle yükleyebilir ve çalıştırabilir. Bu kusurun CVSS v3 puanı 8,8 ve CVSS v4 puanı 8,7’dir.
AggreGate’i kullanan kuruluşlar mümkün olan en kısa sürede 6.34.03 veya daha yeni bir sürüme güncellemelidir.
6. Schneider Electric Accutech Yöneticisi: Sistem Çökmesi Güvenlik Açığı
Schneider Electric’in endüstriyel ortamlarda kullanılan bir telemetri sistemi olan Accutech Manager, CVE-2024-6918 olarak tanımlanan Klasik Arabellek Taşmasına karşı savunmasızdır.
Bu güvenlik açığından 2536/TCP numaralı bağlantı noktası üzerinden uzaktan yararlanılarak uygulamanın çökmesine ve işlemlerin kesintiye uğramasına neden olabilir.
CVSS v3 puanı 7,5 olan bu yüksek önemdeki sorun, riskleri azaltmak için satıcıdan anında güncellemeler yapılmasını ve ağ erişim kısıtlamalarını gerektiriyor.
7. Schneider Electric Modicon Kontrol Cihazları: Siteler Arası Komut Dosyası Çalıştırma
Endüstriyel otomasyonda kullanılan Modicon Denetleyicileri, CVE-2024-6528 olarak izlenen Siteler Arası Komut Dosyası Çalıştırmaya (XSS) karşı savunmasızdır.
Bu güvenlik açığı, saldırganların web sayfalarına kötü amaçlı JavaScript yerleştirmesine olanak tanıyarak yetkisiz tarayıcı eylemlerine yol açar.
Bu güvenlik açığının CVSS puanı 5,4’tür; bu, orta şiddette ancak belirli ortamlarda önemli ölçüde istismar potansiyeli olduğunu gösterir. Kullanıcıların sorunu çözmek için Modicon Denetleyici ürün yazılımının en son sürümlerine güncellemeleri gerekir.
8. Ossur Mobil Mantık Uygulaması: Çoklu Güvenlik Açıkları
Ossur’un Mobil Mantık Uygulaması üç kritik güvenlik açığından etkileniyor: Hassas Sistem Bilgilerinin Açığa Çıkması (CVE-2024-53683), Komut Ekleme (CVE-2024-54681) ve Sabit Kodlanmış Kimlik Bilgilerinin Kullanımı (CVE-2024-45832).
Bu kusurlar, saldırganların yetkisiz erişim elde etmesine, kötü amaçlı komutlar vermesine ve veri bütünlüğünü tehlikeye atmasına olanak tanıyabilir. Bu güvenlik açıklarına ilişkin CVSS puanları 2,0 ila 5,6 arasında değişse de toplu olarak önemli riskler oluştururlar.
Ossur, bu güvenlik açıklarını etkili bir şekilde çözmek için 1.5.5 veya sonraki bir sürüme yükseltme yapmanızı önerir.
CISA’nın yeni tavsiyeleri, Endüstriyel Kontrol Sistemlerinin karşı karşıya olduğu güvenlik açıklarının acil bir hatırlatıcısıdır.
ICS’yi hedef alan istismarlar, operasyonel aksama, mali kayıplar ve güvenlik tehlikeleri dahil olmak üzere ciddi sonuçlara yol açabilir.
Etkilenen sistemleri çalıştıran kuruluşlar, satıcı tarafından yayınlanan güncellemelerin uygulanmasına öncelik vermeli, ağ bölümlendirmesini güçlendirmeli ve potansiyel saldırıları tespit etmek için dikkatli sistem izleme kullanmalıdır.
ANY.RUN ile Gerçek Dünyadaki Kötü Amaçlı Bağlantıları, Kötü Amaçlı Yazılımları ve Kimlik Avı Saldırılarını Araştırın – Ücretsiz Deneyin