Kritische Schwachstellen in Honeywell Experion PKS- und ACE-Steuerungen

[English]In den Honeywell Experion PKS-Steuerungen C200, C200E, C300 und in den und ACE-Steuerungen wurden kritische Schwachstellen entdeckt. ICS-CERT bzw. CISA haben diesbezüglich eine Warnung herausgegeben – und vom Hersteller Honeywell gibt es Sicherheitshinweise, was Administratoren der betreffenden Steuerungen zur Absicherung tun sollten.

Honeywell Experion PKS ist ein Prozessleitsystem, welches in Industrieanlagen eingesetzt wird. Und die ACE-Units C200, C200E und C300 sind Steuerungen, die ebenfalls in der Industrie eingesetzt werden. In diesen Komponenten gibt es kritische Schwachstellen, vor denen das CISA bzw. ICS-CERT warnen. Ich bin über nachfolgenden Tweet auf den Sachverhalt aufmerksam geworden.

Das betreffende CISA-Dokument ist recht knapp gehalten und weist darauf hin, dass alle Versionen der Honeywell Experion Process Knowledge System C200, C200E, C300 und ACE-Steuerungen mehrere Schwachstellen aufweisen. Die Schwachstellen ermöglichen es einem Remote-Angreifer die Kontrolle über ein betroffenes System zu übernehmen. Eine Ausnutzung in freier Wildbahn wurde bisher nicht beobachtet.

Im ICS-Advisory CSA-21-278-04 gibt es dazu mehr Informationen.  Im Experion Process Knowledge System (PKS) C200, C200E, C300 und in allen ACE Steuerungen gibt es Schwachstellen, die einen unbeschränkten Upload von Dateien mit gefährlichem Typ, ein Relative Path Traversal, oder eine unsachgemäße Neutralisierung spezieller Elemente in nachgeschalteten Komponenten ermöglichen.

Honeywell empfiehlt Anwendern, alle Hinweise im Experion Network and Security Planning Guide zu befolgen, um Angriffe durch böswillige Akteure zu verhindern. Zudem hat Honeywell das Support-Dokument SN2021-02-22-01 veröffentlicht. Die CISA empfiehlt folgende Maßnahmen zur Absicherung:

• Minimieren Sie die Netzwerkexposition aller Steuersystemgeräte und/oder -systeme und stellen Sie sicher, dass sie nicht über das Internet zugänglich sind.
• Steuersystemnetzwerke und Remote-Geräte hinter Firewalls platzieren und vom Unternehmensnetzwerk isolieren.
• Wenn ein Fernzugriff erforderlich ist, verwenden Sie sichere Methoden, wie z. B. virtuelle private Netzwerke (VPNs), wobei VPNs Sicherheitslücken aufweisen können und auf die aktuellste verfügbare Version aktualisiert werden sollten. Außerdem ist ein VPN nur so sicher wie die angeschlossenen Geräte.

Die CISA erinnert Organisationen ferner daran, vor dem Einsatz von Abwehrmaßnahmen eine angemessene Folgenanalyse und Risikobewertung durchzuführen. Einige Informationen zu den Schwachstellen finden sich zudem in diesem deutschsprachigen heise-Artikel.