Siemens и Schneider Electric выпустили 25 рекомендаций по безопасности, устраняющих в общей сложности более 40 уязвимостей, влияющих на продукты промышленной системы управления (ICS).

Поставщики предоставили исправления, средства защиты и общие рекомендации по безопасности для снижения риска атак.

Компания Siemens выпустила 21 новых рекомендаций по безопасности и обновила ранее опубликованные 25 рекомендаций по безопасности. Новые рекомендации охватывают 36 уязвимостей, в том числе пять уязвимостей, которым был присвоен рейтинг критической опасности.

Одна из критических уязвимостей, получившая 10 баллов по шкале CVSS, влияет на платформу управления Desigo CC и систему Cerberus. Другой критической уязвимостью, получившая 10 баллов по шкале CVSS, является уязвимость внедрения команд, влияющая на приложение Siveillance Open Interface Services (OIS). Данная уязвимость может быть использована удаленным неаутентифицированным злоумышленником для выполнения кода с привилегиями root.

Критической уязвимость также является уязвимость переполнения буфера в веб-сервере устройств автоматизации APOGEE и TALON. Удаленный злоумышленник может использовать брешь безопасности для выполнения произвольного кода с привилегиями root.

Обновление для приложения Siemens Industrial Edge устраняет критическую проблему, которая может позволить неаутентифицированному злоумышленнику изменить пароль любого пользователя в системе, позволяя им выдавать себя за этого пользователя.

Последняя критическая ошибка затрагивает устройства SIPROTEC 5 и может позволить удаленному злоумышленнику вызвать состояние отказа в обслуживании (DoS) или выполнить произвольный код.

Компания Schneider Electric также опубликовала четыре новых рекомендаций по безопасности, охватывающих семь уязвимостей. Два из которых влияют на продукт StruxureWare Data Center Expert, который предназначен для управления физической инфраструктурой. Обе уязвимости, получившие критическую степень опасности, могут позволить злоумышленнику удаленно выполнить произвольный код, что, по словам промышленного гиганта, может привести к простою или отключению.

Источник: securityweek.com