Siemens, Schneider Electric und Rockwell Automation haben während des Patch-Tuesday-Zyklus neue Sicherheitsupdates und Warnungen für industrielle Steuerungssysteme veröffentlicht. Im Mittelpunkt stehen Schwachstellen, die Steuerungsmodule, Endgeräte und in industriellen Umgebungen eingesetzte Betriebsplattformen betreffen können.
17 Bulletins von Siemens
Siemens veröffentlichte 17 neue Sicherheitsbulletins. Die Reaktion umfasste Korrekturen für einige Schwachstellen sowie vorübergehende Maßnahmen zur Risikominderung für andere Schwachstellen, bis endgültige Lösungen bereitgestellt werden.
Zu den kritischen Schwachstellen gehörten einige Simatic-S7-1500-Zentraleinheiten, Industrial-Edge-Geräte und der Zugriffscontroller für Stationen Ruggedcom Crossbow Station Access Controller (SAC). In den Simatic-Einheiten sind mehr als 400 Schwachstellen im GNU/Linux-Subsystem betroffen.
Siemens behob außerdem hochriskante Schwachstellen in den Produkten Ruggedcom Crossbow, Simatic IPC, PSS(R)SINCAL und der .NET-Bibliothek der Simatic S7 Webserver API sowie in Industrial Edge App Publisher, Apogee, Desigo, Talon, Ruggedcom APE1808 und Simatic WinCC. Die Updates mittleren Risikos betrafen die Produkte Sentron 3NA COM Fuse und Capital Embedded AR Classic. Zudem wurde eine Unklarheit in der Dokumentation zu Simatic-S7-Einheiten und damit verbundenen Produkten klargestellt.
Schwachstellen in Produkten von Schneider und Rockwell
Schneider Electric veröffentlichte zwei neue Bulletins, die jeweils eine hochriskante Schwachstelle abdecken. Die erste betrifft Pro-face STW6000 und Harmony STW6 und kann es einem Angreifer ermöglichen, die Kontrolle über das Gerät zu erlangen, indem er den Benutzer dazu bringt, eine bösartige Webseite aufzurufen. Die zweite betrifft Sage-RTU-Einheiten. Ein Benutzer mit erhöhten Berechtigungen kann sie ausnutzen, um bösartige Firmware auf dem Gerät zu installieren.
Rockwell Automation veröffentlichte ein Bulletin zu zwei Schwachstellen in 1732E-ArmorBlock-Geräten. Die als kritisch eingestufte Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer, das Passwort des Webservers zu ändern, was zur Übernahme des Administratorkontos führen kann. Die zweite Schwachstelle verursacht eine Dienstverweigerung.
Warnungen von Sicherheitsbehörden
CISA veröffentlichte zwei neue Bulletins: Das erste betrifft Schwachstellen in Swann-SWIFI-SE2KIC-Kameras, durch die Videoinformationen offengelegt werden können. Das zweite behandelt ein Problem durch eine Rechteausweitung im Produkt Ignition von Inductive Automation. CERT@VDE aus Deutschland meldete außerdem eine Schwachstelle zur Offenlegung von Informationen in der Plattform Bender Customer&Partner.
Im Zeitraum zwischen dem aktuellen und dem vorherigen Patch-Tuesday-Zyklus wurden außerdem Bulletins von Moxa, Honeywell, Hitachi Energy, Johnson Controls und ABB veröffentlicht. Sie betrafen Produkte für Protokoll-Gateways sowie Systeme zur Verwaltung von Anlagen und zur industriellen Steuerung.
Warum ist diese Nachricht wichtig?
Die Dichte der Bulletins und die Vielfalt der Produkte zeigen, dass die Verwaltung der Sicherheit industrieller Steuerungssysteme nicht auf die Installation eines einzigen Updates beschränkt ist. In einigen Fällen kann die Anwendung einer vorübergehenden Risikominderung oder die Überprüfung von Zugriffseinstellungen und die Überwachung von Protokollen erforderlich sein, bis der Patch veröffentlicht wird. Die ArmorBlock-Schwachstelle unterstreicht die Bedeutung des Schutzes von Geräteverwaltungsschnittstellen, da die Änderung des Webserver-Passworts ohne Authentifizierung einen Fehler in einem Endgerät in einen Weg zu einem Administratorkonto verwandeln kann.
Im Fall der dynovaPRO-Schwachstelle bei ABB erklärte das Unternehmen, es wisse von keiner tatsächlichen Ausnutzung. Intern habe es jedoch 26 Passwortänderungen festgestellt, die 9 Kunden betrafen. Diese Aktivität könnte auf Tests oder Aufklärung hindeuten. Daher empfahl der Beitrag Organisationen, die Bulletins von CISA und CERT@VDE regelmäßig zu verfolgen und dabei zu beachten, dass die Quelle keine tatsächliche Ausnutzung dieser Schwachstellen belegt.