ロックウェル・オートメーション、シーメンス、シュナイダーエレクトリック、フェニックスコンタクトなど、複数の産業用制御システム（ICS）大手が今月のパッチチューズデーに新たなセキュリティアドバイザリを公開しました。
ロックウェル・オートメーションは、今月のパッチチューズデーで最も多くの新規アドバイザリを公開しました。同社は8件の新しいアドバイザリを発表し、いずれも同社製品で最近発見された高深刻度の脆弱性を対象としています。
ロックウェルは、FactoryTalk Analytics LogixAIにおける機密データ漏洩の問題、ControlLogixコントローラにおけるDoSおよびコード実行の問題を修正しました。また、Stratix（Cisco）デバイスのリモートコード実行の脆弱性、1783-NATRのメモリ破損、Automation ThinManagerのSSRF問題、FactoryTalk Optixのリモートコード実行の脆弱性、FactoryTalk Activation Managerのデータ漏洩問題にも対応しています。
シーメンスは7件の新しいアドバイザリを公開しました。CVSSスコア9.3の最も深刻な問題の一つはSimatic Virtualization as a Serviceに影響し、攻撃者が機密データへアクセスまたは改ざんできる可能性があります。
もう一つの「クリティカル」深刻度の脆弱性は、シーメンスのユーザ管理コンポーネント（UMC）に影響し、認証されていないリモートコード実行やDoS攻撃に悪用される可能性があります。
シーメンスはまた、SimotionおよびIndustrial Edge Management製品の高深刻度の問題にも対応しました。Sinamics、Apogee PXCおよびTalon TC、Sinec OS製品については、中・低深刻度の脆弱性に関するアドバイザリが公開されています。
シュナイダーエレクトリックは、今月のパッチチューズデーで2件のみ新しいアドバイザリを公開しました。そのうちの1件は、Saitel DR & Saitel DP RTU製品における2件の中程度の深刻度のOSコマンドインジェクション問題を対象としています。もう1件は、Altivar製品のXSS脆弱性について顧客に通知するものです。
フェニックスコンタクトは2件の新しいアドバイザリを公開しました。1件はFL Mguardで使用されているJq JSONプロセッサの2つの脆弱性、もう1件はWibuのCodeMeter Runtimeの使用によって導入された脆弱性に関するものです。
広告。スクロールして続きをお読みください。
ハネウェルは、MaxproやPro-Watch NVRおよびVMS製品を含むビル管理製品向けに複数のアドバイザリを公開しています。
CISAは9件の新規アドバイザリと5件の更新アドバイザリを公開しました。新規アドバイザリの大半は、ロックウェル・オートメーション製品の脆弱性を対象としています。
CISAのアドバイザリの1件は、ABB製品の脆弱性について組織に通知しています。ベンダーは今月初めに、同社のAspectビル管理システムに影響するこれらの脆弱性に関するアドバイザリを公開しました。これらの問題は、1月にABB製品で1,000件以上の脆弱性を発見したと主張する研究者Gjoko Krstic氏によって報告されました。
ドイツのCERT@VDE機関は今週7件の新しいアドバイザリを公開しました。その中には、認証なしでDoS攻撃や認証情報の弱体化に悪用され、デフォルト認証情報がデバイスに適用される可能性のある重大なWagoコントローラの脆弱性も含まれています。
CERT@VDEのアドバイザリは、他にも2件のWago製品の脆弱性、2件のBenderチャージコントローラの問題、最近公開されたフェニックスコンタクトの脆弱性も対象としています。
翻訳元: https://www.securityweek.com/ics-patch-tuesday-rockwell-automation-leads-with-8-security-advisories/