พบช่องโหว่ระดับวิกฤตหลายรายการใน AVEVA Pipeline Integrity Monitor

หน่วยงานด้านความมั่นคงปลอดภัยไซเบอร์ในภาคอุตสาหกรรมได้เผยแพร่ประกาศเตือนเกี่ยวกับช่องโหว่ด้านความปลอดภัยที่สำคัญใน AVEVA Pipeline Integrity Monitor โดยช่องโหว่ดังกล่าวมีคะแนน CVSS สูงถึง 8.4

ซึ่งก่อให้เกิดความเสี่ยงต่อการปฏิบัติงานอย่างมีนัยสำคัญสำหรับระบบพลังงานที่สำคัญและการขนส่งทางท่อความเสี่ยงต่อสภาพแวดล้อมโครงสร้างพื้นฐานที่สำคัญประกาศเตือนระบุถึงจุดอ่อนหลายประการ ได้แก่ การใช้คีย์เข้ารหัสลับแบบ Hard-coded

การพึ่งพาอัลกอริทึมการเข้ารหัสลับที่ชำรุดหรือมีความเสี่ยง การตรวจสอบข้อมูลนำเข้าที่ไม่เหมาะสม และการขาดการตรวจสอบสิทธิ์ เมื่อนำช่องโหว่เหล่านี้มารวมกัน ผู้ไม่หวังดีจะสามารถเข้าถึงข้อมูลการวัดค่าทางปฏิบัติงานที่เป็นความลับ ทำการ Brute-force

รหัสผ่านที่อยู่ในรูปแบบ Hash และรันโค้ดโดยไม่ได้รับอนุญาตภายในเซสชันเบราว์เซอร์ของผู้ใช้งานเป้าหมายได้เนื่องจากซอฟต์แวร์ตรวจสอบท่อส่งทำหน้าที่ดูแลความสมบูรณ์ทางกายภาพและสถานะของโครงสร้างพื้นฐานในการกระจายสินค้า

การถูกบุกรุกในส่วนนี้อาจนำไปสู่การแก้ไขพารามิเตอร์โดยไม่ได้รับอนุญาตหรือทำให้ผู้ควบคุมโรงงานสูญเสียการมองเห็นสถานะของระบบโดยสิ้นเชิง ภัยคุกคามที่มุ่งเป้าไปที่ Operational Technology (OT) มักใช้การโจมตีผ่านเบราว์เซอร์และการขโมยข้อมูลประจำตัว

(Credential harvesting) เพื่อยกระดับสิทธิ์ภายในโครงสร้างสถาปัตยกรรมระบบควบคุมทางอุตสาหกรรมคำแนะนำในการบรรเทาความเสี่ยงและการเสริมความมั่นคงปลอดภัยองค์กรที่ใช้งาน AVEVA Pipeline Integrity Monitor

ควรดำเนินการตามแนวทางการบริหารจัดการความเสี่ยงโดยเร่งด่วน ประการแรก ให้รีบดำเนินการอัปเดตและใช้มาตรการบรรเทาความเสี่ยงตามที่ผู้จำหน่ายแนะนำทันทีบนเครื่อง Workstation ทางวิศวกรรมและเซิร์ฟเวอร์ทั้งหมด ประการที่สอง

บังคับใช้การแบ่งโซนเครือข่ายที่เข้มงวดตามมาตรฐาน ISA/IEC 62443 เพื่อให้มั่นใจว่าระบบควบคุมทางอุตสาหกรรมและระบบตรวจสอบท่อส่งถูกแยกออกจากเครือข่ายภายนอกและโดเมน IT ขององค์กรทั่วไป ประการที่สาม

ห้ามไม่ให้ผู้ปฏิบัติงานเข้าใช้งานอินเทอร์เน็ตทั่วไปบนเครื่องที่รันเครื่องมือตรวจสอบความสมบูรณ์ของระบบ เพื่อลดความเสี่ยงจากการรันสคริปต์ข้ามเซสชัน (Cross-session script execution)---แหล่งที่มา: CISA Cybersecurity Advisoriesเผยแพร่ครั้งแรก:

Thu, 10 Sep 26 12:00:00 +0000บทความต้นฉบับ: อ่านต้นฉบับ