Cyble Research & Intelligence Labs’ta kıdemli araştırmacı Prajitesh Singh, ControlByWeb’in X-301 ve X-332 web özellikli Ethernet I/O modüllerinde önemli bir Siteler Arası Komut Dosyası Çalıştırma Güvenlik Açığı (CVE-2023-6333) tespit etti. Bu modüller, Kritik Altyapı sektörlerinde önemli roller üstlenerek siber tehditlerin önemli sistemler üzerindeki potansiyel etkisini artırıyor.
Cyble, bu bulguları açıklamak için satıcıyla ortaklık kurdu ve Koordineli Güvenlik Açığı Açıklama (CVD) programı için Güvenlik Açığı Bilgileri ve Koordinasyon Ortamı (VINCE) platformunu kullanarak bilgileri Siber Güvenlik ve Altyapı Güvenlik Ajansı’na (CISA) ortaklaşa sundu.
(CVE-2023-6333) güvenlik açığının ciddiyeti, CISA tarafından “yüksek önemde” olarak sınıflandırılmasına yol açarak, kritikliği ve ilgili riskleri vurguladı.
ControlByWeb Güvenlik Açığı Kodunu Çözme
Etkilenen bu ürünler, motor kontrolü, aydınlatma, bobin yönetimi, pompa regülasyonu, valf işletimi, bant kontrolü ve daha fazlasını kapsayan çeşitli endüstriyel uygulamalarla Çoklu Kritik Altyapı sektörlerinde temel bileşenler olarak hizmet vermektedir. Bu sistemlerdeki olası riskler, mali aksaklıklardan hayati tedarik zincirlerinin bozulmasına kadar çok çeşitli ciddi sonuçları tetikleyebilir.
Ayrıca, bu ürünlerdeki güvenlik açıkları, kötü niyetli aktörlere bu sistemleri manipüle edecek yollar sunabilir, bu da fiziksel altyapının zarar görmesine ve ilgili operatörlerin güvenliğini tehlikeye atmasına neden olabilir.
Kötü niyetli aktörlerin benzer sistemleri tehlikeye atma konusundaki istekliliğinin en iyi örneği, Batı Pensilvanya’daki Aliquippa Belediyesi Su İdaresi’ne yapılan son saldırıda ortaya çıktı.
Bu olay, İran destekli bir siber grup olan CyberAv3ngers ile bağlantılıydı ve ulusal hizmetleri kesintiye uğratmak için aktif olarak yeni yollar arama yönündeki ısrarlı çabalarına dikkat çekiyordu. Odaklandıkları nokta özellikle Endüstriyel Kontrol Sistemi (ICS) varlıklarındaki güvenlik açıklarından ve yanlış yapılandırmalardan yararlanmaktır.
Operasyonel Teknoloji (OT) ortamında bir saldırının bu sistemleri başarılı bir şekilde ihlal etmesi halinde bunun yansımaları kuruluş, ulusal kritik altyapı, küresel tedarik zincirleri ve mühendislerin, operatörlerin ve ağır makinelerin fiziksel güvenliği açısından ciddi olabilir.
ControlByWeb Güvenlik Açığına Karşı Azaltma
Bu kritik sistemlerin güvenliğinin sağlanması, tehditlere karşı proaktif bir yaklaşımın benimsenmesine bağlıdır. Kuruluşlar bunu, gerçek zamanlı tehdit istihbaratı sağlamak üzere özel olarak tasarlanmış ODIN gibi platformları benimseyerek başarabilirler. Bu tür araçlar, kullanıcılara internete açık varlıkları taramada yardımcı olur, potansiyel olarak savunmasız sistemleri ve kötü niyetli aktörler tarafından hedeflenmeye yatkın ürünleri işaretleyen eyleme dönüştürülebilir bilgiler sağlar ve sonuçta potansiyel tehlikelere karşı koruma sağlar.
Bu öngörülerden güç alan kuruluşlar, belirlenen güvenlik açıklarını düzelterek, yamalar uygulayarak, yazılım güncellemelerini dağıtarak ve bilgileri kullanıcı tabanlarına ve ilgili yetkililere yayarak bu ürünleri proaktif bir şekilde ele alabilir. Bu, potansiyel tehditlerle mücadele etmek için işbirlikçi bilgi paylaşımı ve ortak çaba atmosferini teşvik eder.
Singh, tehlikeye atılan kritik ürünlerin kolektif etkisini vurguluyor ve sonuçların bireysel kuruluşları, endüstrileri veya ulusları aştığını vurguluyor. Küresel ekonomi, ulusal güvenlik, uluslararası ticaret ve üretimdeki tamamlayıcı rolleri göz önüne alındığında, bu sektörlerin sürekli güvenliğinin sağlanması evrensel bir endişedir. Bu zorunluluk, CISA gibi kamu kuruluşlarından OT/IT bileşen üreticilerine ve aradaki tüm paydaşlara kadar kuruluşları kapsayan işbirlikçi bir çabayı içerir.
Cyble, tüm Cyble ürünlerine yerleştirilmiş özel yapay zeka ve makine öğrenimi algoritmalarını kullanarak, açığa çıkan ürünlerdeki güvenlik açıklarını takip etme konusunda dikkatli olmaya devam ediyor. Bu proaktif yaklaşım, potansiyel tehditleri gerçek zamanlı olarak tespit etmemize ve raporlamamıza olanak tanır ve çoğu zaman sorunları istismar gerçekleşmeden önce belirler.
Medya Yasal Uyarısı: Bu rapor, çeşitli yollarla elde edilen iç ve dış araştırmalara dayanmaktadır. Sağlanan bilgiler yalnızca referans amaçlıdır ve bu bilgilere güvenme konusunda tüm sorumluluk kullanıcılara aittir. Cyber Express bu bilgilerin kullanılmasının doğruluğu veya sonuçları konusunda hiçbir sorumluluk kabul etmez.