情資卡編號:
TCCY-RCDC-200-202502-0000069
事件主旨:
Hitachi Energy UNEM 網路管理套件發現多個高風險漏洞
內容說明:
1.概述
設備：UNEM
漏洞：使用替代路徑或通道繞過身份驗證、參數注入、基於堆積的緩衝區溢位、不正確的憑證驗證、使用硬體編碼密碼、不正確的過度身份驗證嘗試限制、敏感資訊明文儲存、不正確的使用者管理
2.受影響的產品
日立能源報告指出，以下產品受到影響：
UNEM：R15A 及更早版本
UNEM：R15B (CVE-2024-28022, CVE-2024-28024, CVE-2024-28020)
UNEM：R15B PC4 (CVE-2024-2013, CVE-2024-2012, CVE-2024-2011, CVE-2024-28021, CVE-2024-28023)
UNEM：R16A
UNEM：R16B (CVE-2024-28022, CVE-2024-28024, CVE-2024-28020)
UNEM：R16B PC2 (CVE-2024-2013, CVE-2024-2012, CVE-2024-2011, CVE-2024-28021, CVE-2024-28023)
3.漏洞概述
3.1 使用替代路徑或通道繞過身份驗證 (CWE-288)
UNEM 伺服器 / APIGateway 组件中存在身份驗證繞過漏洞，如果遭到利用，
未經身份驗證的惡意使用者可以與服務和身份驗證後的攻擊面互動。
此漏洞已被編號為 CVE-2024-2013 。CVSS v3 基礎評分為 10.0。
3.2 命令中參數分隔符號的不正確中和（「參數注入」）(CWE-88)
UNEM 伺服器 / APIGateway 中存在一個漏洞，如果遭到利用，可用於允許在 UNEM 伺服器上執行未預期的命令或程式碼。
此漏洞已被編號為 CVE-2024-2012。CVSS v3 基礎評分為 9.1。
3.3 基於堆積的緩衝區溢位 (CWE-122)
UNEM 中存在基於堆積的緩衝區溢位漏洞，如果遭到利用，通常會導致阻斷服務，但可用於執行任意程式碼，這通常超出程式隱式安全策略的範圍。
此漏洞已被編號為CVE-2024-2011。CVSS v3 基礎評分為 8.6。
3.4 不正確的憑證驗證 (CWE-295)
UNEM 伺服器 / APIGateway 中存在一個漏洞，如果遭到利用，可用於允許在 UNEM 伺服器上執行未預期的命令或程式碼。
此漏洞已被編號為 CVE-2024-28021。CVSS v3 基礎評分為 8.0)。
3.5 使用硬式編碼密碼 (CWE-259)
訊息佇列機制中存在一個漏洞，如果遭到利用，可能導致資源或功能暴露給未預期的參與者，可能向惡意使用者提供敏感資訊，甚至執行任意程式碼。
此漏洞已被編號為CVE-2024-28023。CVSS v3 基礎評分為 5.7)。
3.6 不正確的過度身份驗證嘗試限制 (CWE-307)
UNEM 伺服器 / APIGateway 中存在一個漏洞，如果遭到利用，允許惡意使用者使用不同的密碼執行任意次數的身份驗證嘗試，並最終獲得對目標帳戶的存取權限。
此漏洞已被編號為CVE-2024-28022。CVSS v3 基礎評分為 6.5。
3.7 敏感資訊明文儲存 (CWE-312)
UNEM 中存在一個漏洞，其中敏感資訊以明文形式儲存在可能被另一個控制範圍存取的資源中。
此漏洞已被編號為CVE-2024-28024。CVSS v3 基礎評分為 1.9。
3.8 不正確的使用者管理 (CWE-286)
UNEM 應用程式和伺服器管理中存在使用者/密碼重複使用漏洞。如果遭到利用，惡意使用者可以使用密碼和登入資訊來擴展對伺服器和其他服務的存取權限。
此漏洞已被編號為CVE-2024-28020。CVSS v3 基礎評分為 8.0)。
風險等級:
3
建議措施:
日立能源建議使用者實施建議的安全措施和防火牆配置，以幫助保護製程控制網路免受來自網路外部的攻擊。
製程控制系統應受到物理保護，防止未經授權的人員直接存取，不應直接連接到網際網路，並且應通過具有最
少暴露端口的防火牆系統與其他網路隔離。製程控制系統不應用於網際網路瀏覽、即時訊息或接收電子郵件。
在將可攜式電腦和可移動儲存媒體連接到控制系統之前，應仔細掃描病毒。
有關更多資訊，請參閱日立能源網路安全公告「日立能源 UNEM 中的多個漏洞」。
CISA 建議使用者採取防禦措施，以最大限度地降低利用這些漏洞的風險，例如：
當需要遠端存取時，請使用更安全的方法，例如虛擬私人網路 (VPN)。 認識到 VPN 可能存在漏洞，
應更新到可用的最新版本，並且其安全性僅與連接的設備一樣。
CISA 提醒各組織在部署防禦措施之前執行適當的影響分析和風險評估。
CISA 還在 cisa.gov 上的 ICS 網頁上提供了一個關於控制系統安全建議措施的章節。
許多 CISA 產品詳細介紹了網路防禦最佳措施，可供閱讀和下載，包括使用深度防禦策略
改進工業控制系統網路安全。