شش توصیه امنیتی CISA در خصوص آسیب پذیری‌ سیستم های کنترل صنعتی (ICS)

آژانس امنیت سایبری و امنیت زیرساخت ایالات متحده (CISA)، بیست و سوم ژانویه ۲۰۲۵، شش توصیه امنیتی برای سیستم های کنترل صنعتی ([1]ICS) صادر کرد. هر یک از این توصیه‌ها به رسیدگی به آسیب پذیری‌های قابل توجه در سیستم های حیاتی مورد استفاده در صنایع مختلف می‌پردازند. این مشاوره اطلاعات مهمی در مورد آسیب پذیری‌های امنیتی ارائه کرده است که در صورت عدم توجه به آنها، ممکن است منجر به دسترسی غیرمجاز ، نفوذ به سیستم یا افشای داده‌های حساس شود.

توصیه‌های امنیتی به شرح زیر می‌باشند:

mySCADA myPRO Manager : ICSA-25-023-01  

CVSS V4 9.3

توضیحات: قابل اکسپلویت از راه دور / دارای پیچیدگی حمله پایین

فروشنده:  mySCADA

تجهیزات: myPRO

نوع آسیب پذیری: خنثی سازی نادرست عناصر ویژه مورد استفاده در یک دستور OS Command Injection

شرح آسیب پذیری‌ها: دو آسیب پذیری OS command injection مهم (CVE-2025-20061 و CVE-2025-20014) که به مهاجمان از راه دور اجازه می‌دهد تا دستورات دلخواه سیستم عامل را اجرا کنند. myPRO Manager  یک سیستم مدیریت و کنترل برای نظارت بر عملیات صنعتی و نظارت بر سیستم‌های SCADA[2] است. این ابزار از سوی شرکت mySCADA برای مدیریت و کنترل سیستم‌های اتوماسیون صنعتی به کار می‌رود و عمدتاً در صنایع مختلف از جمله تولید، انرژی، و زیرساخت‌ها کاربرد دارد. myPRO Runtime نیز یکی از اجزای سیستم mySCADA است که برای اجرای برنامه‌ها و اپلیکیشن‌هایSCADA  در محیط‌های صنعتی طراحی شده است. این سیستم به‌عنوان پلتفرمی برای اجرای پروژه‌های SCADA و تعامل با تجهیزات و دستگاه‌ها به‌صورت بلادرنگ عمل می‌کند.

تأثیر: این آسیب پذیری‌ها، نسخه‌های پیش از 1.3 ابزار myPRO Manager و پیش از 9.2.1 ابزار myPRO Runtime  با امتیاز CVSS V4 9.3 را تحت تأثیر قرار می دهند.

توصیه‌های امنیتی: به کاربران توصیه می‌شود برای محافظت در برابر این آسیب پذیری‌ها به آخرین نسخه‌ها به روز رسانی کنند (mySCADA PRO Manager 1.3 و mySCADA PRO Runtime 9.2.1).

ICSA-25-023-02 : سری RTU500 هیتاچی انرژی (Hitachi Energy)

CVSS v3 7.2

توضیحات: قابل اکسپلویت از راه دور / دارای پیچیدگی حمله پایین

فروشنده: هیتاچی انرژی

تجهیزات: محصولات سری  RTU500

نوع آسیب پذیری: بررسی امنیتی نادرست پیاده‌سازی شده برای استاندارد

شرح آسیب پذیری‌ها: توصیه دوم، ICSA-25-023-02، مربوط به سری RTU500  هیتاچی انرژی است که حاوی نقصی است که به کاربران احراز هویت شده اجازه می‌دهد تا بررسی به روزرسانی فریمور امن را دور بزنند. این آسیب پذیری که با شناسه CVE-2024-2617 دنبال می‌شود، دارای امتیاز CVSS V3 7.2 است و بر نسخه‌های 13.5.1–13.5 ، 13.4.1–13.4.4 و 13.2.1–13.2.7  فریمور تأثیر می‌گذارد. مهاجمان در صورت اکسپلویت موفق این آسیب پذیری، می‌توانند فریمور بدون امضا (unsigned firmware) را نصب کنند و یکپارچگی سیستم را به خطر بیاندازند.

تاثیر: این آسیب پذیری بر زیرساخت‌های حیاتی وابسته به مانیتورینگ از راه دور تاثیر می‌گذارد.

توصیه‌های امنیتی:  Hitachi Energy تنها استفاده از به روزرسانی فریمور امضا شده (signed firmware) و محدود کردن دسترسی به پرسنل مجاز را توصیه می‌کند.

Schneider Electric EVlink Home Smart and Schneider Charge:  ICSA-25-023-03 

CVSS v3 8.5

توضیحات: دارای پیچیدگی حمله پایین

فروشنده: Schneider Electric

تجهیزات: EVlink Home Smart  و  Schneider Charge

نوع آسیب پذیری: ذخیره اطلاعات حساس بصورت ClearText و رمزگذاری نشده

شرح آسیب پذیری: هر دو محصول مرتبط با شارژ خودروهای الکتریکی (EV) از شرکت Schneider Electric  می‌باشند که به ‌منظور ارائه راه‌حل‌های کارآمد، ایمن و هوشمند برای شارژ خودروهای برقی طراحی شده‌اند. آسیب پذیری مربوطه با شناسه CVE-2024-8070 دنبال می‌شود و شامل ذخیره سازی اطلاعات حساس مانند داده‌های لاگین بصورت ClearText است که مهاجمان می توانند از آنها سوء استفاده کنند.

تاثیر: این آسیب پذیری دارای امتیاز  CVSS V3 8.5است و تمام نسخه‌های پیش از 2.0.6.0.0 محصول EVlink Home Smart  و نسخه‌های پیش از 1.13.4 محصول Schneider Charge را تحت تاثیر قرار میدهد.

توصیه‌های امنیتی: Schneider Electric  توصیه می‌کند که آخرین نسخه فریمورها دریافت و نصب گردد تا دسترسی فیزیکی و شبکه‌ای به این دستگاه‌ها محدود شود.

Schneider Electric Easergy Studio ‌: ICSA-25-023-04

CVSS v3 7.8

توضیحات: دارای پیچیدگی حمله پایین

فروشنده: اشنایدر الکتریک (Schneider Electric)

تجهیزات: Easergy Studio

نوع آسیب پذیری: مدیریت نامناسب سطح دسترسی

شرح آسیب پذیری: Schneider Electric Easergy Studio یک نرم‌افزار مهندسی برای پیکربندی، طراحی و مدیریت رله‌های حفاظتی و سیستم‌های اتوماسیون در شبکه‌های توزیع برق است. این ابزار به مهندسان این امکان را می‌دهد که به راحتی سیستم‌های حفاظتی و اتوماسیون را پیکربندی و آزمایش کنند. توصیه ICSA-25-023-04، به یک آسیب پذیری افزایش سطح دسترسی در Schneider Electric Easergy Studio می‌پردازد. این آسیب پذیری با شناسه CVE-2024-9002  (امتیاز CVSS V3 7.8) دنبال می‌شود و به مهاجمانی که به سیستم فایل دسترسی دارند، اجازه میدهد تا با تغییر باینری‌ها در دایکتوری نصب، سطح دسترسی خود افزایش دهند.

تاثیر: این آسیب پذیری بر نسخه‌های 9.3.1 و قدیمی‌تر محصول Easergy Studio تأثیر می‌گذارد.

توصیه‌های امنیتی: از سازمان‌ها خواسته می‌شود تا آخرین نسخه به روزرسانی را دریافت و نصب کنند و دسترسی به سیستم را برای جلوگیری از سوء استفاده غیرمجاز محدود نمایند.

Schneider Electric EcoStruxure Power Build Rapsody : ICSA-25-023-05

CVSS V4 4.6

توضیحات: دارای پیچیدگی حمله کم

فروشنده: اشنایدر الکتریک (Schneider Electric)

تجهیزات: EcoStruxure Power Build Rapsody

نوع آسیب پذیری: محدودسازی نادرست عملیات در محدوده یک بافر حافظه

شرح آسیب پذیری: پنجمین توصیه (ICSA-25-023-05)، مربوط به EcoStruxure Power Build Rapsody اشنایدر الکتریک است که با مشکل محدودیت بافر حافظه نامناسب مواجه است. این آسیب پذیری ، CVE-2024-11139 (امتیاز CVSS V4 4.6)، به مهاجمان لوکال اجازه میدهد تا با باز کردن یک فایل پروژه مخرب، کد دلخواه را اجرا کنند. Schneider Electric EcoStruxure Power Build Rapsody، یک نرم‌افزار طراحی و پیکربندی برای سیستم‌های برق و توزیع قدرت است که برای پروژه‌های مهندسی در زمینه طراحی سیستم‌های برق ساختمان‌ها و زیرساخت‌های صنعتی توسعه یافته است. این نرم‌افزار به مهندسان برق و طراحان سیستم‌های برق این امکان را می‌دهد که به راحتی طرح‌ها و پیکربندی‌های مربوط به تابلوهای توزیع برق، سیستم‌های حفاظتی، و سایر اجزای سیستم‌های قدرت را انجام دهند.

تاثیر: این آسیب پذیری بر نسخه‌های مختلف این محصول از جمله V2.5.2 NL ، V2.7.1 FR و V2.5.4 int تأثیر می‌گذارد.

توصیه‌های امنیتی: کاربران می‌بایست از باز کردن فایل‌های پروژه ناشناس و غیرقابل اطمینان خودداری کنند و آخرین به روزرسانی‌ها را از اشنایدر الکتریک دریافت و نصب نمایند.

HMS Networks Ewon Flexy 202 : ICSA-25-023-06

CVSS V4 6.9

توضیحات: دارای پیچیدگی حمله کم

فروشنده: HMS Networks

تجهیزات: Ewon Flexy 202

نوع آسیب پذیری: انتقال اطلاعات حساس بصورت ClearText و رمزگذاری نشده

شرح آسیب پذیری: توصیه ICSA-25-023-06  به آسیب پذیری در دستگاه‌های 202 Flexy Ewon Flexy از شرکت HMS Networks می‌پردازد. این آسیب پذیری (CVE-2025-0432 و امتیاز CVSS V4 6.9) به دلیل انتقال داده‌های لاگین (مانند نام کاربری و رمز عبور) کاربر بصورت ClearText می‌تواند اطلاعات حساس کاربران را در معرض خطر قرار دهد.

تاثیر: این آسیب پذیری بر تمام نسخه‌های دستگاه تأثیر می‌گذارد.

توصیه‌های امنیتی: سازمان‌ها می‌بایست دسترسی شبکه به دستگاه را محدود کرده و پروتکل‌های رمزگذاری را برای جلوگیری از رهگیری اطلاعات حساس اجرا کنند.

بطور کلی، این توصیه‌ها بر اهمیت به‌روزرسانی‌های به موقع و شیوه‌های قوی امنیت سایبری برای کاهش خطرات تأکید می‌کنند. سازمان‌هایی که از محصولات آسیب پذیر استفاده می‌کنند بایستی اعمال پچ‌ها و به‌روزرسانی‌های توصیه ‌شده توسط فروشنده را در اولویت قرار دهند.

علاوه بر این، نظارت بر فعالیت شبکه، اجرای کنترل‌های دسترسی دقیق و پیاده‌سازی مکانیزم‌های احراز هویت قوی برای جلوگیری از سوءاستفاده از این آسیب‌پذیری‌ها بسیار مهم است.

[1] Industrial Control Systems

[2] Supervisory Control and Data Acquisition

منابع