Siemens sanoat mahsulotlarida xavfli zaifliklar aniqlandi

Eng jiddiy muammo qurilmada xizmat ko’rsatishning rad etilishiga olib kelishi mumkin.

Siemens sanoat jarayonlarini boshqarishning bir nechta yechimlarida bir nechta zaifliklar aniqlangan, jumladan, kodni masofadan bajarish yoki xizmat ko’rsatishni rad etishga imkon beradigan muammolar. Zaifliklar Siemens IEC 61850 System Configurator, DIGSI 5, DIGSI 4, SICAM PAS/PQS, SICAM PQ Analyzer, SICAM SCC, SIMATIC, SIMATIC WinCC va SCALANCE S. ga ta’sir qiladi. Siemens IEC 61850 System Configurator, DIGSI 5, DIGSI 4, SICAM PAS/PQS va SICAM PQ Analyzer tizimdan cheklangan miqdordagi ma’lumotlarni olish yoki Microsoft Windows foydalanuvchisining ruxsati bilan ixtiyoriy kodni bajarish imkonini beruvchi zaiflikka (CVE-2018-4858) moyil. Muammoning CVSS v3 jiddiylik balli 4.2 ga teng.

Siemens SIMATIC mahsulotlarida SIMATIC WinCC, SIMATIC S7, SIMATIC STEP 7 va SIMATIC IT Production Suite kabi jami oltita zaiflik aniqlandi. Ushbu zaifliklar tajovuzkorlarga o’zboshimchalik bilan HTTP sarlavhalarini kiritish, qurilmalarning ishdan chiqishiga sabab bo’lish, parollarni tiklash, dastur darajasidagi autentifikatsiyani chetlab o’tish yoki qurilmadan fayllarni ajratib olish imkonini beradi. Muammolar CVSS v3 jiddiylik reytingiga 4 dan 7,7 gacha ega.

SCALANCE S seriyali tarmoq xavfsizlik modullari saytlararo skriptlash (XSS) hujumlarini amalga oshirishga imkon beruvchi zaiflik (CVE-2018-16555) ni o’z ichiga oladi. Ushbu hujumni muvaffaqiyatli amalga oshirish uchun tajovuzkor foydalanuvchini aldab, zararli havolani bosishga majbur qilishi kerak bo’ladi.

Eng xavfli zaifliklar SIMATIC S7-400 seriyali modulli dasturlashtiriladigan kontrollerlarda (CVE-2018-16556 va CVE-2018-16557) aniqlandi. Ushbu zaifliklardan foydalangan holda, tajovuzkor qurilmada xizmat ko’rsatishni rad etishi mumkin. Funktsiyani tiklash uchun qurilmani qo’lda qayta o’rnatish yoki qayta ishga tushirish kerak bo’lishi mumkin. Ushbu zaifliklarning jiddiyligi CVSS v3 shkalasi bo’yicha mos ravishda 7,5 va 8,2 ball bilan baholanadi.