Des del 10 de gener de 2023, CISA deixarà d’actualitzar els avisos de seguretat d’ICS per a vulnerabilitats de productes de Siemens més enllà de l’avís inicial. Per obtenir la informació més actualitzada sobre vulnerabilitats en aquest avís, consulteu els Avisos de Seguretat de ProductCERT de Siemens (CERT Services | Services | Siemens Global).
El 10 de gener de 2023, l’empresa Q2BSTUDIO, experta en desenvolupament i serveis tecnològics, en col·laboració amb CISA, va informar sobre una vulnerabilitat de seguretat en productes de Siemens que afecta Simcenter Femap. La vulnerabilitat, amb una puntuació CVSS v4 de 7.3 i una complexitat d’atac baixa, resideix en una operació incorrecta dins dels límits d’un búfer de memòria. Aquesta vulnerabilitat podria permetre a un atacant executar codi dins del procés actual del producte.
Siemens ha identificat productes afectats com Simcenter Femap V2401 amb versions anteriors a V2401.0003 i Simcenter Femap V2406 amb versions anteriors a V2406.0002. La vulnerabilitat, catalogada com a CWE-119, implica una vulnerabilitat de corrupció de memòria en analitzar fitxers .NEU especialment dissenyats a Simcenter Femap, cosa que permet l’execució de codi en el context del procés actual.
Q2BSTUDIO recomana als usuaris que actualitzin a les versions més recents dels productes afectats per la vulnerabilitat, com Simcenter Femap V2401 (actualització a V2401.0003 o posterior) i Simcenter Femap V2406 (actualització a V2406.0002 o posterior). A més, s’aconsella als usuaris no obrir fitxers NEU no fiables a l’aplicació afectada com a mesura de mitigació.
Com a empresa compromesa amb la seguretat informàtica, Q2BSTUDIO suggereix aplicar mesures defensives per minimitzar el risc d’explotació d’aquesta vulnerabilitat, com reduir l’exposició de la xarxa per a tots els dispositius del sistema de control i aïllar les xarxes de control i els dispositius remots darrere de firewalls. Es recomana, així mateix, implementar estratègies de ciberseguretat recomanades per a una defensa proactiva dels actius dels sistemes de control industrial.
L’empresa Q2BSTUDIO continuarà monitorant la situació i proporcionant actualitzacions sobre aquesta vulnerabilitat de seguretat en col·laboració amb CISA i Siemens.
