Siemens phát hành 17 bản tin vá lỗi ICS, Rockwell sửa lỗ hổng nghiêm trọng trong ArmorBlock

Các tập đoàn công nghiệp hàng đầu thế giới vừa đồng loạt công bố bản tin bảo mật cho hệ thống điều khiển công nghiệp (ICS) trong kỳ Patch Tuesday tháng này. Siemens, Schneider Electric và Rockwell Automation là những cái tên chính, cùng với các khuyến cáo đến từ CISA và CERT@VDE.

Đây là động thái quan trọng với các doanh nghiệp sản xuất và hạ tầng trọng yếu tại Việt Nam, bởi hệ thống ICS/SCADA vận hành nhà máy, lưới điện và hệ thống nước thường có vòng đời dài, khó nâng cấp và là mục tiêu hấp dẫn của tin tặc.

Minh họa bản vá bảo mật hệ thống công nghiệp ICS

Siemens dẫn đầu với 17 khuyến cáo bảo mật

Siemens đã phát hành 17 bản tin khuyến cáo mới trong kỳ Patch Tuesday này. Với một số lỗ hổng, hãng đã tung bản vá đầy đủ; với những trường hợp còn lại, Siemens cung cấp biện pháp giảm thiểu tạm thời cho đến khi bản vá vĩnh viễn sẵn sàng.

Đáng chú ý nhất là các lỗ hổng mức độ nghiêm trọng (critical) ảnh hưởng đến một số CPU Simatic S7-1500, thiết bị Industrial Edge và bộ điều khiển Ruggedcom Crossbow Station Access Controller (SAC). Với dòng CPU Simatic, có tới hơn 400 lỗ hổng nằm trong hệ thống con GNU/Linux — con số cho thấy mức độ phức tạp của chuỗi cung ứng phần mềm nhúng.

Siemens cũng đã xử lý các vấn đề mức độ cao (high) trong Ruggedcom Crossbow, Simatic IPC, PSS(R)SINCAL, thư viện .NET Client cho Simatic S7 Webserver API, Industrial Edge App Publisher, Apogee, Desigo, Talon, Ruggedcom APE1808 và các sản phẩm Simatic WinCC.

Các lỗ hổng mức trung bình được vá trong Sentron 3NA COM Fuse và Capital Embedded AR Classic. Ngoài ra, hãng cũng cảnh báo khách hàng về một điểm mơ hồ trong tài liệu kỹ thuật ảnh hưởng đến dòng PLC Simatic S7 và các sản phẩm liên quan.

Schneider Electric và Rockwell Automation

Schneider Electric phát hành hai khuyến cáo mới, mỗi bản tin xử lý một lỗ hổng mức độ cao:

• Lỗ hổng thứ nhất ảnh hưởng đến Pro-face STW6000 và Harmony STW6, cho phép kẻ tấn công chiếm quyền điều khiển thiết bị bằng cách dụ người dùng truy cập một trang web độc hại.
• Lỗ hổng thứ hai ảnh hưởng đến các RTU dòng Sage, có thể bị lợi dụng bởi người dùng có đặc quyền để cài đặt firmware độc hại lên thiết bị.

Rockwell Automation công bố một khuyến cáo mới về hai lỗ hổng trong thiết bị 1732E ArmorBlock. Một trong số đó được đánh giá ở mức critical, cho phép kẻ tấn công chưa xác thực thay đổi mật khẩu máy chủ web của thiết bị, dẫn tới chiếm quyền tài khoản quản trị. Lỗ hổng còn lại là vấn đề từ chối dịch vụ (DoS).

CISA, CERT@VDE và các nhà cung cấp khác

CISA cũng phát hành hai khuyến cáo ICS mới: một bản tin về lỗ hổng trên camera Swann SWIFI-SE2KIC làm rò rỉ thông tin video, và một bản tin về vấn đề leo thang đặc quyền trong sản phẩm Ignition của Inductive Automation.

Cơ quan CERT@VDE của Đức công bố một khuyến cáo về lỗ hổng rò rỉ thông tin ảnh hưởng đến nền tảng Customer&Partner của Bender.

Trong khoảng thời gian giữa hai kỳ Patch Tuesday, nhiều nhà cung cấp khác cũng đã lên tiếng, gồm:

• Moxa: hai lỗ hổng nghiêm trọng trong cổng giao thức (protocol gateway).
• Honeywell: sản phẩm Pro-Watch.
• Hitachi Energy: Asset Suite, RTU500, MicroSCADA.
• Johnson Controls: ADVMS, Illustra Standard, EasyIO.
• ABB: Automation Builder, Mint Workbench, AC500, Protection and Control IED Manager, Freelance và dynovaPRO.

Chuyên gia phân tích bảo mật công nghiệp

Điểm nóng: lỗ hổng dynovaPRO và dấu hiệu do thám

Về lỗ hổng trong dynovaPRO — có thể cho phép chiếm quyền tài khoản thông qua việc vượt qua luồng đặt lại thông tin xác thực — ABB cho biết hãng chưa ghi nhận khai thác thực tế ngoài môi trường.

Tuy nhiên, ABB cũng đưa ra một cảnh báo đáng lưu ý:

"Phân tích log nội bộ đã xác định 26 sự kiện đổi mật khẩu ảnh hưởng đến 9 khách hàng, có thể là dấu hiệu của hoạt động thử nghiệm hoặc do thám."

Dù chưa có bằng chứng khai thác, những sự kiện bất thường này cho thấy tin tặc có thể đang trong giai đoạn trinh sát hệ thống trước khi tấn công thực sự. Đây là dấu hiệu mà các đội vận hành nhà máy không nên bỏ qua.

Khuyến nghị cho doanh nghiệp tại Việt Nam

Các chuyên gia bảo mật khuyến nghị doanh nghiệp cần theo dõi sát sao các bản tin từ CISA và CERT@VDE, vì đây là hai nguồn công bố khuyến cáo ICS thường xuyên và có độ tin cậy cao.

Với các nhà máy, hệ thống hạ tầng tại Việt Nam đang sử dụng thiết bị của Siemens, Schneider, Rockwell hay ABB, cần lưu ý:

• Ưu tiên kiểm tra các thiết bị nằm trong danh sách bản tin, đặc biệt là CPU Simatic S7-1500, Ruggedcom và ArmorBlock.
• Áp dụng biện pháp giảm thiểu tạm thời nếu chưa thể nâng cấp ngay, do nhiều hệ thống ICS không thể vá trong thời gian ngắn.
• Rà soát log truy cập và hành vi bất thường như thay đổi mật khẩu, cài firmware lạ — tương tự cách ABB đã phát hiện dấu hiệu do thám.
• Phân tách mạng giữa hệ thống ICS và mạng văn phòng để giảm thiểu rủi ro lan rộng khi bị xâm nhập.

Với số lượng lỗ hổng và mức độ nghiêm trọng ngày càng tăng, bảo mật ICS không còn là câu chuyện riêng của bộ phận IT mà cần sự phối hợp chặt chẽ giữa đội vận hành, đội kỹ thuật và lãnh đạo doanh nghiệp.

Logo SecurityWeek