C­I­S­A­,­ ­H­i­t­a­c­h­i­,­ ­m­y­S­C­A­D­A­,­ ­I­C­L­ ­v­e­ ­N­e­x­x­ ­Ü­r­ü­n­l­e­r­i­n­d­e­k­i­ ­K­r­i­t­i­k­ ­I­C­S­ ­K­u­s­u­r­l­a­r­ı­n­a­ ­K­a­r­ş­ı­ ­U­y­a­r­ı­d­a­ ­B­u­l­u­n­d­u­

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), yayınlanan sekiz Endüstriyel Kontrol Sistemleri (ICS) tavsiyeleri, Hitachi Energy, mySCADA Technologies, Industrial Control Links ve Nexx ürünlerini etkileyen kritik kusurlar hakkında uyarı verir.

Listenin başında CVE-2022-3682 (CVSS puanı: 9.9), Hitachi Energy’nin MicroSCADA Sistem Veri Yöneticisi SDM600’ü etkileyerek bir saldırganın ürünün uzaktan kontrolünü ele geçirmesine olanak verebilir.

Kusur, dosya izin doğrulamasıyla ilgili bir sorundan kaynaklanır ve böylece bir rakibin özel olarak hazırlanmış bir mesajı sisteme yüklemesine izin vererek keyfi kod yürütülmesine yol açar.

Hitachi Energy, SDM600 1.3.0.1339’u piyasaya sürdü. hafifletmek 1.2 FP3 HF4 sürümünden önceki SDM600 sürümleri için sorun (Derleme No. 1.2.23000.291).

Beş kritik güvenlik açığından oluşan başka bir set – CVE-2023-28400, CVE-2023-28716, CVE-2023-28384, CVE-2023-29169Ve CVE-2023-29150 (CVSS puanları: 9.9) – mySCADA myPRO 8.26.0 ve önceki sürümlerinde bulunan komut enjeksiyon hatalarıyla ilgilidir.

CISA, kullanıcıları 8.29.0 veya daha yüksek bir sürüme güncellemeye çağırarak, “Bu güvenlik açıklarının başarılı bir şekilde kullanılması, kimliği doğrulanmış bir kullanıcının rastgele işletim sistemi komutları enjekte etmesine izin verebilir.”

Endüstriyel Kontrol Bağlantıları ScadaFlex II SCADA Denetleyicilerinde (CVE-2022-25359CVSS puanı: 9.1), kimliği doğrulanmış bir saldırganın dosyaların üzerine yazmasına, silmesine veya oluşturmasına izin verebilir.

Ajans, “Industrial Control Links, işlerini kapattığını bildirdi” dedi. “Bu ürünün kullanım ömrü sona ermiş olarak kabul edilebilir; bu ürün için sürekli destek sağlanamayabilir.”

Kullanıcıların ağ maruziyetini en aza indirmeleri, kontrol sistemi ağlarını iş ağlarından izole etmeleri ve potansiyel riskleri ele almak için bunları güvenlik duvarlarının arkasına yerleştirmeleri önerilir.

Listenin tamamlanması, bir kritik hata da dahil olmak üzere beş eksikliktir (CVE-2023-1748CVSS puanı: 9.3), Nexx tarafından satılan garaj kapısı kontrol cihazlarını, akıllı prizleri ve akıllı alarmları etkiliyor.

Güvenlik araştırmacısına göre, tehdit aktörlerinin ev garaj kapılarını kırmasına, akıllı prizleri ele geçirmesine ve akıllı alarmların uzaktan kontrolünü ele geçirmesine olanak sağlayabilecek güvenlik açıkları Sam Sabetansorunları keşfeden ve bildiren.