ICS Patch Tuesday: 17 adviezen van Siemens, ArmorBlock-fix
Siemens, Schneider Electric en Rockwell Automation hebben hun nieuwste reeks beveiligingsadviezen voor industriele besturingssystemen (ICS) uitgebracht. Siemens publiceerde er de meeste, met 17 nieuwe adviezen. Het enige advies van Rockwell gaat over een kritieke kwetsbaarheid in de 1732E ArmorBlock-apparaten, waarmee een aanvaller het beheerdersaccount kan overnemen.
De publicaties vallen op dezelfde dag als Microsofts Patch Tuesday van oktober 2026. Verschillende industriele leveranciers gebruiken deze maandelijkse cyclus om hun eigen patches uit te brengen.
Siemens: honderden kwetsbaarheden in Simatic-CPU's
Voor een deel van de kwetsbaarheden in de adviezen van Siemens zijn patches beschikbaar. Voor de rest heeft het bedrijf maatregelen gedeeld die klanten kunnen toepassen tot er definitieve oplossingen klaar zijn.
De kritieke problemen treffen bepaalde Simatic S7-1500-CPU's, Industrial Edge-apparaten en de Ruggedcom Crossbow Station Access Controller (SAC). Het advies over de Simatic-CPU's is het omvangrijkste. Het beslaat meer dan 400 kwetsbaarheden in het GNU/Linux-subsysteem van de getroffen processors.
Kwetsbaarheden met een hoge ernst zijn verholpen in een lange reeks producten:
- Ruggedcom Crossbow en Ruggedcom APE1808
- Simatic IPC en Simatic WinCC
- PSS(R)SINCAL
- de .NET Client Library voor de Simatic S7 Webserver API
- Industrial Edge App Publisher
- Apogee, Desigo en Talon
Sentron 3NA COM Fuse en Capital Embedded AR Classic kregen patches voor problemen met een gemiddelde ernst. Daarnaast wees Siemens klanten op een onduidelijkheid in de documentatie die van invloed is op Simatic S7-PLC's (programmable logic controllers) en verwante producten.
Schneider Electric en Rockwell Automation
Schneider Electric publiceerde twee adviezen, die elk een kwetsbaarheid met een hoge ernst beschrijven.
De eerste treft Pro-face STW6000 en Harmony STW6. Een aanvaller kan een apparaat overnemen door de beoogde gebruiker naar een kwaadaardige webpagina te lokken. De tweede treft Sage-RTU's (remote terminal units). Een gebruiker met verhoogde rechten kan die misbruiken om kwaadaardige firmware te installeren.
Het advies van Rockwell Automation behandelt twee kwetsbaarheden in 1732E ArmorBlock. Met de kritieke kwetsbaarheid kan een aanvaller zonder authenticatie het wachtwoord van de webserver op het apparaat wijzigen, wat kan leiden tot overname van het beheerdersaccount. De tweede kwetsbaarheid kan worden gebruikt voor een denial-of-service (DoS).
CISA, CERT@VDE en andere leveranciers
De Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) bracht dinsdag twee nieuwe ICS-adviezen uit. Het ene beschrijft kwetsbaarheden in Swann SWIFI-SE2KIC-camera's waardoor videogegevens op straat komen te liggen. Het andere gaat over een probleem met rechtenescalatie in Ignition, een product van Inductive Automation.
CERT@VDE, een Duits CERT dat zich richt op industriele automatisering, publiceerde een advies. Daarin staat een kwetsbaarheid beschreven waardoor informatie kan uitlekken via het Customer&Partner-platform van Bender.
Andere leveranciers brachten tussen de Patch Tuesday van vorige maand en die van deze maand adviezen uit:
- Moxa: twee ernstige kwetsbaarheden in protocolgateways
- Honeywell: Pro-Watch
- Hitachi Energy: Asset Suite, RTU500 en MicroSCADA
- Johnson Controls: ADVMS, Illustra Standard en EasyIO
- ABB: Automation Builder, Mint Workbench, AC500, Protection and Control IED Manager, Freelance en dynovaPRO
Via de kwetsbaarheid in dynovaPRO kunnen accounts worden overgenomen door een omzeiling in het proces voor het herstellen van inloggegevens. ABB zegt niet op de hoogte te zijn van misbruik in het wild, maar trof wel verdachte activiteit aan in de eigen logbestanden.
"Interne analyse van de logs bracht 26 wachtwoordwijzigingen aan het licht bij 9 klanten, wat kan wijzen op test- of verkenningsactiviteit," aldus het bedrijf.
Organisaties die industriele apparatuur gebruiken, doen er goed aan CISA en CERT@VDE nauwlettend in de gaten te houden. Beide publiceren regelmatig ICS-adviezen.
Onze analyse
Twee kwetsbaarheden uit deze ronde springen eruit: het wachtwoordprobleem in Rockwells ArmorBlock en de omzeiling van de herstelprocedure in ABB's dynovaPRO. Beide zijn zwakke plekken in de authenticatie die een aanvaller een beheerdersaccount in handen kunnen spelen. Wat ABB in de logs aantrof, doet vermoeden dat iemand de omzeiling al heeft afgetast, ook al zijn er geen aanvallen bevestigd.
De ruim 400 kwetsbaarheden in het GNU/Linux-subsysteem van Simatic wijzen op een ander probleem. Industriele hardware wordt steeds vaker geleverd met algemene besturingssystemen, en daarmee komt ook de hele achterstand aan kwetsbaarheden mee. Fabrieksbeheerders patchen doorgaans traag en een deel van de oplossingen van Siemens laat nog op zich wachten, dus de gepubliceerde maatregelen zijn in de tussentijd belangrijk.
Ook de druk op het beleid rond OT-beveiliging neemt toe. CISA is onlangs opgeroepen een bindende richtlijn voor OT-beveiliging uit te vaardigen, en verouderde apparatuur beperkt nog altijd het zicht in veel industriele netwerken. Lezers doen er goed aan alert te blijven op meldingen van misbruik van de kwetsbaarheden in dynovaPRO en ArmorBlock, en op het moment waarop Siemens de resterende patches uitbrengt.