ينبه المستشار الأمني الصادر هذا الأسبوع عن وكالة الأمن السيبراني وأمن البنية التحتية (CISA) المسؤولين عن نقاط الضعف في جهازين لأنظمة التحكم الصناعية - Unitronics Vision Series PLCs وMitsubishi Electric MELSEC iQ-R Series.
حذرت CISA من أن وحدة التحكم Unitronics Vision Series PLC مفتوحة للاستغلال عن بعد بسبب تخزينها لكلمات المرور بتنسيق قابل للاسترداد. تم منح هذه الثغرة الأمنية (CVE-2024-1480) درجة CVSS تبلغ 8.7.
ولم تستجب شركة Unitronics للوكالة أو تعمل معها للتخفيف من المشكلة، مما يترك الشبكات التي تحتوي على هذه الأجهزة مفتوحة للهجمات الإلكترونية، وفقًا لـ CISA. ويوصي الاستشارة بالتأكد من عدم اتصال وحدات التحكم بالإنترنت، وعزلها عن شبكات الأعمال، وحماية الأجهزة خلف جدران الحماية، واستخدام أساليب آمنة، مثل الشبكات الخاصة الافتراضية (VPN)، للوصول عن بعد.
المتبقي نقاط الضعف في ICS التأثير على وحدة وحدة المعالجة المركزية MELSEC iQ-R التابعة لشركة Mitsubishi Electric. تم منح عيب في تصميم وحدة المعالجة المركزية، تم تتبعه تحت CVE-2021-20599، درجة CVSS تبلغ 9.1. تنقل الوحدة كلمات المرور بنص واضح، والتي يمكن اعتراضها بسهولة من قبل الخصوم.
تحتوي وحدات المعالجة المركزية Mitsubishi MELSEC أيضًا على ثلاثة عيوب تم الإبلاغ عنها والتي يمكن أن تسمح لممثل التهديد باختراق أسماء المستخدمين والوصول إلى الجهاز ومنع الوصول إلى المستخدمين الشرعيين. وتشمل هذه: الكشف عن المعلومات الحساسة (CVE-2021-20594، CVSS 5.9)؛ بيانات الاعتماد غير محمية بشكل كافٍ (CVE-2021-20597، CVSS 7.4)؛ وآلية قفل الحساب المقيدة (CVE-2021-20598، CVSS 3.7).
تعمل شركة Mitsubishi على توفير وسائل التخفيف والحلول البديلة لهذه المشكلات. ومع ذلك، لا يمكن تحديث الأنظمة التي تحتوي على هذه الأجهزة بإصلاحها، وفقًا لـ CISA. وتنصح الوكالة المسؤولين الذين لديهم هذه الأجهزة في شبكاتهم بدعم الدفاعات بجدران الحماية، وقيود الوصول عن بعد، وقيود عنوان IP.
وجاء في التحذير: "أصدرت شركة Mitsubishi Electric الإصدار الثابت... لكن تحديث المنتج إلى الإصدار الثابت غير متاح". "توصي CISA المستخدمين باتخاذ إجراءات دفاعية لتقليل مخاطر استغلال هذه الثغرة الأمنية."
- محتوى مدعوم من تحسين محركات البحث وتوزيع العلاقات العامة. تضخيم اليوم.
- PlatoData.Network Vertical Generative Ai. تمكين نفسك. الوصول هنا.
- أفلاطونايستريم. ذكاء Web3. تضخيم المعرفة. الوصول هنا.
- أفلاطون كربون، كلينتك ، الطاقة، بيئة، شمسي، إدارة المخلفات. الوصول هنا.
- أفلاطون هيلث. التكنولوجيا الحيوية وذكاء التجارب السريرية. الوصول هنا.
- المصدر https://www.darkreading.com/ics-ot-security/ics-network-controllers-open-to-remote-exploit-no-patches-available
