Siemens WinCC Tanúsítványkezelő

A CSAF összefoglalója a WinCC Certificate Manager nem megfelelően védi a kulcsmaterált, amely lehetővé teheti a támadók számára érzékeny információk kinyerését. A Siemens új verziót adott ki a SIMATIC WinCC Unified PC Runtime V21-hez, és ajánlja a legfrissebb verzióra való frissítést. A Siemens konkrét ellenintézkedéseket javasol az olyan termékekhez, ahol a javítások még nem állnak rendelkezésre. Az alábbi Siemens WinCC Certificate Manager verziók érintettek: SIMATIC WinCC Unified PC Runtime V16 minden verzió, SIMATIC WinCC Unified PC Runtime V17 minden verzió, SIMATIC WinCC Unified PC Runtime V18 minden verzió, SIMATIC WinCC Unified PC Runtime V19 minden verzió, SIMATIC WinCC Unified PC Runtime V20 minden verzió, SIMATIC WinCC Unified PC Runtime V21 intdot/<21.0.2 CVSS Szállító Eszközsebezhetőségek v3 7.1 Siemens Siemens WinCC Certificate Manager Tisztaszöveges tárolás fájlban vagy lemezen Háttér Kritikus infrastruktúra szektorok: Kritikus gyártás, Szállítási rendszerek, Energia, Egészségügy és közegészségügy, Pénzügyi szolgáltatások, Kormányzati szolgáltatások és létesítmények Telepített országok/területek: Világszerte A vállalat székhelye: Németország Sebezhetőségek Minden kibővítése + CVE-2026-24349 A WinCC Certificate Manager kulcsmateráljának nem megfelelő védelme, amely lehetővé teheti a támadók számára, hogy érzékeny információkat nyerjenek ki. Érintett termékek Siemens WinCC Certificate Manager Szállító: Siemens Termék verzió: SIMATIC WinCC Unified PC Runtime V16, SIMATIC WinCC Unified PC Runtime V17, SIMATIC WinCC Unified PC Runtime V18, SIMATIC WinCC Unified PC Runtime V19, SIMATIC WinCC Unified PC Runtime V20, SIMATIC WinCC Unified PC Runtime V21 Termék állapot: ismert érintett Intézkedések Csökkentés Az érintett terméket csak a megfelelő dokumentáció, különösen figyelmeztetései és biztonsági utasításai alapján, a konkrét feladat elvégzésére képzett személyzet kezelheti. A képzett személyek azok, akik képzésük és tapasztalatuk alapján képesek a kockázatok azonosítására és a potenciális veszélyek elkerülésére az érintett termékkel végzett munka során. Nincs tervezett javítás Jelenleg nincs tervezett javítás Szállítói javítás Frissítés a V21 frissítés 2 vagy újabb verziójára https://support.industry.siemens.com/cs/ww/en/view/109991140/ Kapcsolódó CWE: CWE-313 Tisztaszöveges tárolás fájlban vagy lemezen Metriák CVSS Verzió Alap pontszám Alap súlyosság Vektor sztring 3.1 7.1 MAGAS CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N Köszönetnyilvánítások A Siemens ProductCERT jelentette ezt a sebezhetőséget a CISA-nak. Általános ajánlások Általános biztonsági intézkedésként a Siemens határozottan javasolja, hogy a készülékekhez való hálózati hozzáférést megfelelő mechanizmusokkal védjék. A készülékek védett IT környezetben történő üzemeltetése érdekében a Siemens javasolja a környezet konfigurálását a Siemens ipari biztonsági működési irányelveinek megfelelően (Letöltés: https://www.siemens.com/cert/operational-guidelines-industrial-security), és kövesse a termék kézikönyvében található ajánlásokat. További információk a Siemens ipari biztonságával kapcsolatban: https://www.siemens.com/industrialsecurity További források A Siemens termékeivel és megoldásaival kapcsolatos biztonsági sebezhetőségekkel kapcsolatos kérdések esetén, kérjük, lépjen kapcsolatba a Siemens ProductCERT-tel: https://www.siemens.com/cert/advisories Felhasználási feltételek A Siemens biztonsági értesítéseinek használata a következő címeken felsorolt feltételeknek van alávetve: https://www.siemens.com/productcert/terms-of-use. Jogi nyilatkozat és felhasználási feltételek Ezt a terméket a következő értesítés (https://www.cisa.gov/notification) és ezt a magánéleti és használati szabályzatot követően (https://www.cisa.gov/privacy-policy) nyújtják. Ajánlott gyakorlatok A CISA javasolja a felhasználóknak, hogy tegyenek védelmi intézkedéseket a sebezhetőségek kihasználásának minimalizálására. Minimalizálják a hálózati kitettséget minden vezérlőrendszer eszköz és/vagy rendszer esetében, és biztosítsák, hogy azok ne legyenek elérhetők az internetről. Helyezze a vezérlőrendszer hálózatokat és távoli eszközöket tűzfalak mögé, és izolálja azokat az üzleti hálózatoktól. Amennyiben távoli hozzáférés szükséges, használjon biztonságosabb módszereket, például virtuális magánhálózatokat (VPN), figyelembe véve, hogy a VPN-nek lehetnek sebezhetőségei és a legfrissebb verzióra kell frissíteni. Ezenkívül a VPN csak annyira biztonságos, amennyire a csatlakoztatott eszközök. A CISA emlékezteti a szervezeteket, hogy végezzenek megfelelő hatásvizsgálatot és kockázatelemzést a védelmi intézkedések bevezetése előtt. A CISA egy szekciót is biztosít a vezérlőrendszerek biztonságára vonatkozó ajánlott gyakorlatokról a cisa.gov ICS weboldalán. Számos CISA-termék, amelyek a kibertámadásokkal szembeni védelmi legjobb gyakorlatokat részletezik, elérhetők olvasásra és letöltésre, beleértve az Ipari Vezérlőrendszerek Kibervédelmének Javítása Mélységi Védelem Stratégiákkal. A CISA arra ösztönzi a szervezeteket, hogy alkalmazzák az ajánlott kiberbiztonsági stratégiákat az ICS eszközök proaktív védelme érdekében. További csökkentési útmutatók és ajánlott gyakorlatok nyilvánosan elérhetők a cisa.gov ICS weboldalán a műszaki információs kiadványban, ICS-TIP-12-146-01B--Célzott Kibertámadási Észlelési és Csökkentési Stratégiák. A szervezeteknek, amelyek gyanús rosszindulatú tevékenységet észlelnek, követniük kell a már kialakított belső eljárásokat, és jelenteniük kell az eredményeket a CISA felé, hogy nyomon követhessék és összekapcsolhassák más eseményekkel. Értesítési Átalakítási Nyilatkozat Ez az ICSA a Siemens ProductCERT SSA-063511 verbatim újranyomása a szállító Common Security Advisory Framework (CSAF) értesítésének közvetlen konvertálásából. Ez a CISA weboldalán kerül újranyomásra a láthatóság növelésének érdekében, és "ahogy van" formában, tájékoztató céllal kerül bemutatásra. A CISA nem vállal felelősséget a közzétett értesítések szerkesztési vagy technikai pontosságáért, és semmilyen információra nem biztosít jótállást. Ezenkívül a CISA nem támogat semmilyen kereskedelmi terméket vagy szolgáltatást. Kérjük, lépjen kapcsolatba közvetlenül a Siemens ProductCERT-tel bármilyen kérdés esetén ezzel az értesítéssel kapcsolatban. Revíziós történelem Kezdeti kiadási dátum: 2026-06-09 Dátum Revíziós összefoglaló 2026-06-09 1 Kiadási dátum 2026-06-23 2 A Siemens ProductCERT SSA-063511 értesítésének kezdeti CISA újranyomása Jogi nyilatkozat és felhasználási feltételek