Siemens, Schneider Electric, Rockwell Automation은 Patch Tuesday 주기 동안 산업 제어 시스템에 대한 새로운 보안 업데이트와 경고를 발표했다. 이번 발표는 산업 환경에서 사용되는 컨트롤러, 주변 장치 및 운영 플랫폼에 영향을 줄 수 있는 취약점에 초점을 맞췄다.
Siemens의 공지 17건
Siemens는 새로운 보안 공지 17건을 발표했다. 대응 조치에는 일부 취약점에 대한 패치와 최종 수정 사항이 제공될 때까지 다른 취약점에 적용할 임시 완화 조치가 포함됐다.
심각한 취약점은 일부 Simatic S7-1500 중앙처리장치, Industrial Edge 장치 및 Ruggedcom Crossbow Station Access Controller(SAC)에 영향을 미쳤다. Simatic 장치에서는 400개가 넘는 취약점이 GNU/Linux 하위 시스템에 영향을 미친다.
또한 Siemens는 Ruggedcom Crossbow, Simatic IPC, PSS(R)SINCAL, Simatic S7 Webserver API용 .NET 라이브러리, Industrial Edge App Publisher, Apogee, Desigo, Talon, Ruggedcom APE1808 및 Simatic WinCC 제품의 고위험 취약점을 해결했다. 중간 위험도 업데이트에는 Sentron 3NA COM Fuse 및 Capital Embedded AR Classic 제품이 포함됐으며, Simatic S7 장치와 관련 제품에 관한 문서상의 혼동도 명확히 했다.
Schneider 및 Rockwell 제품의 취약점
Schneider Electric은 각각 고위험 취약점 1건을 다루는 새로운 공지 2건을 발표했다. 첫 번째 취약점은 Pro-face STW6000 및 Harmony STW6에 영향을 미치며, 공격자가 사용자를 속여 악성 웹 페이지를 방문하게 함으로써 장치를 제어할 수 있다. 두 번째 취약점은 Sage RTU 장치에 영향을 미치며, 높은 권한을 가진 사용자가 이를 악용해 장치에 악성 펌웨어를 설치할 수 있다.
Rockwell Automation은 1732E ArmorBlock 장치의 취약점 2건을 다루는 공지 1건을 발표했다. 심각한 취약점으로 분류된 취약점은 인증되지 않은 공격자가 웹 서버의 비밀번호를 변경할 수 있게 하며, 이는 관리 계정 탈취로 이어질 수 있다. 두 번째 취약점은 서비스 거부를 일으킨다.
보안 기관의 경고
CISA는 새로운 공지 2건을 발표했다. 첫 번째는 Swann SWIFI-SE2KIC 카메라의 취약점과 관련된 것으로, 영상 정보가 노출될 수 있다. 두 번째는 Inductive Automation의 Ignition 제품에서 발생하는 권한 상승 문제를 다룬다. 또한 독일의 CERT@VDE는 Bender Customer&Partner 플랫폼의 정보 공개 취약점을 보고했다.
현재 Patch Tuesday 주기와 이전 주기 사이에는 Moxa, Honeywell, Hitachi Energy, Johnson Controls 및 ABB도 공지를 발표했으며, 프로토콜 게이트웨이, 자산 관리 시스템 및 산업 제어 제품이 포함됐다.
이 소식이 중요한 이유
공지의 수와 제품의 다양성은 산업 제어 시스템 보안 관리가 단일 업데이트 설치에만 국한되지 않음을 보여준다. 일부 경우에는 패치가 발표될 때까지 임시 완화 조치를 적용하거나 접근 설정을 검토하고 로그를 모니터링해야 할 수 있다. ArmorBlock 취약점은 장치 관리 인터페이스 보호의 중요성을 부각한다. 인증 없이 웹 서버 비밀번호를 변경할 수 있다면 주변 장치의 결함이 관리 계정으로 향하는 경로가 될 수 있기 때문이다.
ABB의 dynovaPRO 취약점과 관련해 회사는 실제 악용이 발생했다는 사실을 알지 못한다고 밝혔지만, 내부적으로 9개 고객에게 영향을 미친 26건의 비밀번호 변경 작업을 확인했다. 이는 테스트 또는 정찰 활동을 나타낼 수 있다. 따라서 이 글은 기관들이 CISA와 CERT@VDE의 공지를 정기적으로 확인할 것을 권고하며, 출처만으로는 이러한 취약점이 실제로 악용됐다는 사실이 입증되지 않는다는 점에 유의할 것을 당부한다.