Siemens deixarà d'actualitzar els avisos de seguretat d'ICS per a vulnerabilitats de productes a partir del 10 de gener de 2023. Per obtenir la informació més actualitzada sobre vulnerabilitats en aquest avís, consulteu els Serveis d'Assessorament de Seguretat de Productes de Siemens (CERT Services | Services | Siemens Global).
CVSS v4 9.1
ATENCIÓ: Explotable de forma remota/baixa complexitat d'atac
Fabricant: Siemens
Equip: SIDIS Prime
Vulnerabilitats: Cursa de Condicions que Habilita la Següent Acció d'Enllaç, Valors d'Integritat No Validats, Entrada No Verificada per a la Condició de Bucle, Violació del Comportament Esperat, Provisió Incorrecta de Funcionalitat Especificada, Desbordament de Búfer Basat en el Muntó, Transmissió en Text Clar d'Informació Sensible, Ús Després d'Alliberament, Desreferència de Punter NUL, Exposició d'Informació Sensible a un Actor No Autoritzat, Escriptura Fora de Límits, Validació Incorrecta d'Entrades, Consum No Controlat de Recursos
L'explotació exitosa d'aquestes vulnerabilitats podria permetre a un atacant executar eliminacions no autoritzades, causar denegació de servei, corrompre l'estat de l'aplicació, filtrar informació sensible o potencialment executar codi remot.
Siemens informa que els següents productes estan afectats:
SIDIS Prime: Totes les versions anteriors a V4.0.700
Siemens ha llançat una nova versió de SIDIS Prime i recomana actualitzar a l'última versió:
SIDIS Prime: Actualitzar a V4.0.700 o una versió posterior
Com a mesura de seguretat general, Siemens recomana protegir l'accés a la xarxa dels dispositius amb mecanismes apropiats. Per operar els dispositius en un entorn d'IT protegit, Siemens recomana configurar l'entorn d'acord amb les pautes operatives de seguretat industrial de Siemens i seguir les recomanacions als manuals de productes.
Per obtenir més informació, consulteu l'avís de seguretat associat de Siemens SSA-277137 a HTML i CSAF.
CISA recomana als usuaris prendre mesures defensives per minimitzar el risc d'explotació d'aquestes vulnerabilitats, com ara:
- Minimitzar l'exposició de la xarxa per a tots els dispositius i/o sistemes de control, assegurant-se que no siguin accessibles des d'Internet.
- Ubicar les xarxes de sistemes de control i els dispositius remots darrere de firewalls i aïllar-los de les xarxes empresarials.
- Quan es requereixi accés remot, utilitzar mètodes més segurs, com Xarxes Privades Virtuals (VPNs). Reconèixer que les VPN poden tenir vulnerabilitats, s'han d'actualitzar a la versió més recent disponible i són tan segures com els dispositius connectats.
CISA recorda a les organitzacions realitzar una anàlisi d'impacte i avaluació de riscos adequats abans d'implementar mesures defensives.
CISA també proporciona una secció de pràctiques recomanades de seguretat de sistemes de control a la pàgina d'ICS a cisa.gov. Diversos productes de CISA que detallen les millors pràctiques de defensa cibernètica estan disponibles per a lectura i descàrrega, incloent Millorant la Ciberseguretat de Sistemes de Control Industrial amb Estratègies de Defensa en Profunditat.
CISA anima a les organitzacions a implementar estratègies de ciberseguretat recomanades per a la defensa proactiva dels actius d'ICS.
Guies addicionals de mitigació i pràctiques recomanades estan disponibles públicament a la pàgina d'ICS a cisa.gov al document tècnic, ICS-TIP-12-146-01B--Estratègies per a la Detecció i Mitigació d'Intrusions Cibernètiques Dirigides.
Les organitzacions que observin activitat maliciosa sospitosa han de seguir els procediments interns establerts i informar les troballes a CISA per al seu seguiment i correlació amb altres incidents.
CISA també recomana als usuaris prendre les següents mesures per protegir-se d'atacs d'enginyeria social:
- No fer clic en enllaços web o obrir fitxers adjunts en missatges de correu electrònic no sol·licitats.
- Consultar Reconeixement i Evitació d'Estafes per Correu Electrònic per obtenir més informació sobre com evitar estafes per correu electrònic.
- Consultar Avoiding Social Engineering and Phishing Attacks per obtenir més informació sobre atacs d'enginyeria social.
No s'ha informat de cap explotació pública coneguda específicament dirigida a aquestes vulnerabilitats en aquest moment.
