GE Enerjiden Kritik Zafiyet Uyarıları
ABD Siber Güvenlik Ve Altyapı Güvenliği Ajansı (CISA), GE Enerjinin Güç yönetim cihazlarında oluşan kritik güvenlik açığıyla uyarıda bulundu. Saldırganın savunmasız sistemler üzerinde çok sayıda zararlı faaliyet gerçekleştirmesine izin verebilecek bir zafiyetin duyurusundan sonra tavsiyelerde bulundu. GE Enerjide en ciddi sorun , Güvenlik açığı (CVE-2021-27426) 10 üzerinden 9,8 olarak derecelendirildi ve kritik bir sorun olduğu gösterildi.
GE enerjinin UR cihazlarından zafiyetten etkilenen ürünler B30, B90, C30, C60, C70, C95, D30, D60, F35, F60, G30, G60, L30, L60, L90, M60, N60, T35, T60’dır. GE enerji güvenlik açığını gidermek için güncelleme yayınladı.
Cihazı etkileyen güvenlik açıklarında başarılı bir şekilde sömüren saldırgan Yetersiz Şifreleme, oturum tespiti, hassas bilgilerin yetkisiz bir komut çalıştırma, hassas bilgilere erişmek, cihaz yeniden başlatmak, hizmet reddini koşulunu tetiklemek, ayrıcalıklı erişim elde etmek için yararlanılabilir. Tehlikeli dosyaların yüklenmesi, güvensiz varsayılan değişken başlatma, sabit kodlu kimlik bilgilerinin kullanımı bulunmaktadır.
8.1x’ten önceki tüm GE enerjideki UR ürün yazılımı sürümlerinin SSH iletişimi için zayıf şifreleme ve MAC algoritmaları kullandığı ve bu da brute force saldırılarına karşı daha savunmasız hale getirdiği tespit edildi.
Kaynak: https://us-cert.cisa.gov/ics/advisories/icsa-21-075-02
