Sommario
Il 22 agosto 2023, la Cybersecurity and Infrastructure Security Agency (CISA) ha rilasciato quattro avvisi riguardanti i sistemi di controllo industriale (ICS) e ha aggiunto due nuove vulnerabilità al suo catalogo di vulnerabilità note e sfruttate.
Avvisi sui sistemi di controllo industriale
CISA ha fornito quattro avvisi sui sistemi di controllo industriale. Questi avvisi offrono informazioni tempestive su problemi di sicurezza attuali, vulnerabilità e exploit legati agli ICS. CISA incoraggia gli utenti e gli amministratori a esaminare i nuovi avvisi ICS per dettagli tecnici e misure di mitigazione.
- ICSA-23-234-01 Hitachi Energy AFF66x
- ICSA-23-234-02 Trane Thermostats
- ICSA-23-234-03 Rockwell Automation ThinManager ThinServer
- ICSA-23-138-02 Mitsubishi Electric MELSEC WS Series (Update A)
Nuove vulnerabilità nel catalogo
CISA ha identificato e aggiunto al suo catalogo due nuove vulnerabilità basate su prove di sfruttamento attivo:
- CVE-2023-38035 – Vulnerabilità di bypass dell’autenticazione Ivanti Sentry.
- CVE-2023-27532 – Vulnerabilità di mancata autenticazione per funzione critica in Veeam Backup & Replication Cloud Connect.
Queste vulnerabilità rappresentano vettori di attacco frequenti per attori cyber malintenzionati e pongono rischi significativi per l’ente federale. La Direttiva Operativa Vincolante (BOD) 22-01 ha istituito il catalogo come una lista aggiornata di vulnerabilità note che rappresentano un rischio significativo per l’ente federale. La BOD 22-01 richiede alle agenzie del ramo esecutivo civile federale (FCEB) di rimediare alle vulnerabilità identificate entro la data prevista per proteggere le reti FCEB da minacce attive.
Raccomandazioni
Sebbene la BOD 22-01 si applichi solo alle agenzie FCEB, CISA consiglia vivamente a tutte le organizzazioni di ridurre la loro esposizione agli attacchi informatici dando priorità alla tempestiva risoluzione delle vulnerabilità elencate nel catalogo come parte della loro pratica di gestione delle vulnerabilità.
