In het industriële energiemanagementsysteem DIAEnergie van Delta Electronics zijn het afgelopen jaar zeker 30 kwetsbaarheden gevonden.Het bedrijf zegt dat het voor al deze patches patches heeft gemaakt, maar voorlopig zijn de meeste van die patches alleen beschikbaar op aanvraag.In augustus 2021 informeerde de Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) organisaties die het DIAEnergie-product gebruiken, dat onderzoeker Michael Heinzl acht kwetsbaarheden had geïdentificeerd, waaronder kwetsbaarheden met de classificatie 'kritieke ernst'.Heinzl vertelde destijds aan SecurityWeek dat exploitatie van de kwetsbaarheden "ernstige gevolgen" zou kunnen hebben en dat er op dat moment geen patches van de leverancier waren.CISA heeft het in augustus uitgebrachte advies bijgewerkt en deze week heeft het een nieuw advies gepubliceerd waarin meer DIAEnergie-kwetsbaarheden worden beschreven die zijn ontdekt door Heinzl, evenals Dusan Stevanovic van Trend Micro Security Research, die zijn bevindingen rapporteerde via het Zero Day Initiative (ZDI) van Trend Micro.Volgens de adviezen van CISA zijn er in totaal 30 veiligheidslekken gevonden in DIAEnergie.Sommigen van hen lijken in september 2021 in versie 1.8 te zijn gepatcht. De meeste zijn echter pas recenter opgelost met versie 1.08.02.004, die niet openbaar is gemaakt, maar op aanvraag beschikbaar is bij de klantenservice van Delta.De openbare release van de versie met alle patches is gepland voor 30 juni 2022, aldus CISA.Kom meer te weten over kwetsbaarheden in industriële systemen op de ICS Cyber ​​Security Conference van SecurityWeekHeinzl, die afzonderlijke adviezen heeft gepubliceerd voor elk van de fouten die hij heeft gevonden, vertelde SecurityWeek dat voor exploitatie geen authenticatie vereist is en dat het een aanvaller in staat kan stellen de volledige controle over DIAEnergie en de systemen waarop het is geïmplementeerd, over te nemen.Van de 30 kwetsbaarheden die in DIAEnergie zijn gevonden, hebben er 22 een beoordeling van "kritieke ernst" gekregen en vijf zijn "hoge ernst".Een overgrote meerderheid van de nieuw onthulde problemen zijn SQL-injectie-bugs die verschillende componenten van de applicatie beïnvloeden.Nadat de eerste ronde van kwetsbaarheden was onthuld, waarschuwde Heinzl: "De gevolgen van de acties van een kwaadwillende kunnen voor getroffen klanten verschrikkelijk zijn - het vervalsen van monitoringgegevens, het onderdrukken van alarmen, het gebruiken van het systeem als eerste steunpunt in de netwerkinfrastructuur voor verder draaien, of gewoon 'ransomwaring' van de inzet zoals de afgelopen vijf jaar zo wijdverbreid is geworden.”DIAEnergie is ontworpen om bedrijven te helpen bij het visualiseren en verbeteren van elektrische en energiesystemen, met name apparatuur met een hoog verbruik.Het product wordt over de hele wereld gebruikt in verschillende sectoren.Het kan worden geïntegreerd met verschillende industriële besturingssystemen (ICS) en datasinks, waaronder vermogensmeters, programmeerbare logische controllers (PLC's) en andere Modbus-apparaten.Gerelateerd: Zeer ernstige kwetsbaarheden gepatcht in Omron PLC-programmeersoftwareGerelateerd: Fuji Electric patcht kwetsbaarheden in fabrieksbewakingssoftwareGerelateerd: Verschillende kritieke kwetsbaarheden gevonden in myPRO HMI/SCADA-product2022 Singapore/APAC ICS Cyber ​​Security Conference]Virtual Event Series - Security Summit Online-evenementen door SecurityWeek2022 CISO Forum: 13-14 september - Een virtueel evenement2022 ICS Cyber ​​Security Conference |VS [Hybride: 24-27 oktober]