GE Intelligent Platforms Proficy HMI/SCADACIMPLICITY sérülékenységek

CH azonosító

Angol cím

Felfedezés dátuma

Súlyosság

Érintett rendszerek

Érintett verziók

GE Proficy HMI/SCADA – CIMPLICITY: 4.x
GE Proficy Process Systems with CIMPLICITY.

Összefoglaló

A GE Intelligent Platforms Proficy HMI/SCADACIMPLICITY két sérülékenységét jelentették, amiket kihasználva a támadók bizalmas adatokat szerezhetnek, szolgáltatás megtagadást (DoS – Denial of Service) idézhetnek elő vagy feltörhetik a sérülékeny rendszert.

Leírás

1. A CIMPLICITY WebView CimWeb komponens (substitute.bcl) nem megfelelően ellenőrzi a felhasználók által küldött adatokat, amit kihasználva könyvtár bejárásos támadás segítségével tetszőleges fájlhoz lehet olvasásra hozzáférni vagy letölteni. A sérülékenységet speciálisan összeállított csomagoknak a 80/TCP portra küldésével lehet kihasználni, de csak abban az esetben, ha a CIMPLICITY-hez való web alapú hozzáférés használva van.
2. A CimWebServer nem megfelelően ellenőrzi a felhasználók által küldött adatokat. Egy speciálisan összeállított csomag segítségével a támadó a beépített webszerver összeomlását idézheti elő, tetszőleges parancsot futtathat a szerveren vagy átveheti a rendszer feletti ellenőrzést. A sérülékeny CIMPLICITY webszer alapértelmezetten nincs engedélyezve.

A sérülékenységeket távolról ki lehet használni.

Megoldás

A gyártó kiadta a frissítést és a részletes ismertetőt, amely segítségével ki lehet javítani a hibákat.

http://support.ge-ip.com/support/index?page=kbchannel&id=S:KB15153
http://support.ge-ip.com/support/index?page=kbchannel&id=S:KB15244

További javaslatok a kockázatok csökkentésére:

• Minimalizálja a vezérlőrendszer eszközök hálózati elérhetőségét! A kritikus eszközök ne érjék el közvetlenül az Internetet!
• A vezérlőrendszer hálózatokat és a távolról elérhető eszközöket védje tűzfalakkal és szigetelje el őket az üzleti hálózattól!
• Távoli hozzáférés szükségessége esetén használjon olyan biztonsági megoldásokat, mint a virtuális magánhálózat (VPN)!

Támadás típusa

Szükséges hozzáférés

Hivatkozások

Egyéb referencia: www.us-cert.gov
CVE-2013-0653 - NVD CVE-2013-0653
CVE-2013-0654 - NVD CVE-2013-0654