USOM, ABB eSOMS'teki Zafiyetlere Karşı Uyardı
USOM (TR-CERT), enerji ve otomasyon teknolojisi alanlarında faaliyet gösteren ABB'nin eSOMS ürünündeki güvenlik zafiyetlerine karşı şirketleri uyardı.
USOM (TR-CERT), ABB'nin dünya üzerinde birçok tesiste kullanılan kurumsal çözümü eSOMS'teki güvenlik zafiyetlerine karşı şirketleri uyardı.
146,600 çalışanıyla dünya üzerindeki birçok noktada enerji ve otomasyon teknolojisi alanlarında hizmet veren İsviçre merkezli ABB, geçtiğimiz şubat ayında çeşitli endüstriyel kuruluşlar tarafından tesislerde kullanılan ve tesisin yönetimini kolaylaştıran bir çözüm olan eSOMS (Electronic Shift Operations Management System) ürününde kritik güvenlik zafiyetleri bulunduğunu duyurmuştu.
Şimdi ise USOM (TR-CERT), internet sitesinden yaptığı duyuru ile eSOMS kullanan şirketleri, söz konusu zafiyetler konusunda uyardı.
USOM, "Kritik önem düzeyindeki mevcut güvenlik açıklıkları nedeniyle etkilenen sistemlerin siber saldırganlar tarafından kontrol altına alınarak hassas bilgilerin ele geçirilmesi mümkün olabilmektedir" dedi.
USOM, eSOMS'te bulunan CVE-2019-19000, CVE-2019-19001, CVE-2019-19002, CVE-2019-19003, CVE-2019-19089, CVE-2019-19090, CVE-2019-19091, CVE-2019-19092, CVE-2019-19093, CVE-2019-19094, CVE-2019-19095, CVE-2019-19096 ve CVE-2019-19097 kodu verilen güvenlik zafiyetlerini önlemek için kullanıcılara bazı önerilerde bulundu.
Bu öneriler;
- Mevcut yazılımların güncellenmesini,
- Kullanılan sistemlerin ağ segmentasyonlarının yapılmasını ve zonelar arası trafik kontrollerinin yapılmasını,
- Kontrol sistemlerinin internete erişiminin kontrol edilmesini ve gerekli olmadıkça internete erişiminin engellenmesini,
- Kontrol ağları ve ilişkili sistemleri dış ortamlardan ayırmak için kullanılan güvenlik duvarı yapılandırmalarında içe doğru (inbound) uygulanan kısıtlamalar gibi dışa doğru (outbound) da kısıtlamalar uygulanmasını, iç ağdan dışarıya doğru kontrolsüz erişim sağlanmamasını,
- Kontrol sistemlerine dış ağdan teknik destek veya uzaktan bağlantı yapılması gereken durumlarda üçüncü parti yazılımlar kullanılması yerine VPN altyapısının kullanılmasını ve uzak bağlantı sırasında ilgili personelin yapılan işleri izlemesini kapsıyor.
Yorumlar