670 ICS-Schwachstellen, die von CISA im ersten Halbjahr 2023 offengelegt wurden: Analyse

CISA hat im ersten Halbjahr 2023 670 ICS-Schwachstellen offengelegt, aber etwa ein Drittel verfügt über keine Patches oder Abhilfemaßnahmen vom Anbieter.

Von

Flipboard

Nach Angaben des Industrieanlagen- und Netzwerküberwachungsunternehmens SynSaber hat die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) im ersten Halbjahr 2023 670 Schwachstellen offengelegt, die industrielle Kontrollsysteme (ICS) und andere Produkte der Betriebstechnik (OT) betreffen.

Die in Zusammenarbeit mit dem ICS Advisory Project durchgeführte Analyse von SynSaber zeigt, dass CISA im ersten Halbjahr 2023 185 ICS-Advisories veröffentlicht hat, gegenüber 205 im ersten Halbjahr 2022. Die Zahl der in diesen Advisories behandelten Schwachstellen ging im ersten Halbjahr um 1,6 % zurück 2023 im Vergleich zum ersten Halbjahr 2022.

Mehr als 40 % der Fehler betreffen die Software und 26 % die Firmware. OEMs meldeten weiterhin die meisten dieser Schwachstellen – mehr als 50 % – gefolgt von Sicherheitsanbietern (28 %) und unabhängigen Forschern (9 %).

Kritische Fertigung und Energie sind die kritischen Infrastruktursektoren, die am wahrscheinlichsten von den im ersten Halbjahr 2023 gemeldeten CVEs betroffen sein werden.

Von den im ersten Halbjahr 2023 veröffentlichten CVEs wurden 88 als „kritisch“ und 349 als „hoher Schweregrad“ eingestuft. Mehr als 100 Schwachstellen erfordern sowohl lokalen/physischen Zugriff auf das Zielsystem als auch Benutzerinteraktion, und 163 erfordern eine Art Benutzerinteraktion, unabhängig von der Netzwerkverfügbarkeit.

Für 34 % der gemeldeten Schwachstellen ist vom Anbieter kein Patch oder keine Abhilfemaßnahme verfügbar, ein Anstieg gegenüber 13 % im ersten Halbjahr 2022, aber ungefähr der gleiche Wert wie im zweiten Halbjahr 2022.

Der Anstieg im ersten Halbjahr 2023 ist teilweise auf eine Empfehlung von Siemens zurückzuführen, die über 100 CVEs abdeckt, die den Linux-Kernel betreffen und für die der Industrieriese noch keine Patches veröffentlicht hat. Darüber hinaus wirken sich viele der Schwachstellen, die keinen Patch erhalten, auf nicht unterstützte Produkte aus.

Der SynSaber-Bericht bietet außerdem Informationen, die Unternehmen dabei helfen können, Schwachstellen anhand verschiedener Faktoren zu priorisieren.

„Jede OT-Umgebung ist einzigartig und speziell für eine bestimmte Mission konzipiert“, sagte Jori VanAntwerp, Mitbegründer und CEO von SynSaber. „Daher variieren die Wahrscheinlichkeit einer Ausbeutung und Auswirkungen für jede Organisation stark. Eines ist sicher: Die Zahl der gemeldeten CVEs dürfte im Laufe der Zeit weiter zunehmen oder zumindest konstant bleiben. Wir hoffen, dass diese Forschung den Eigentümern von Vermögenswerten dabei hilft, Prioritäten zu setzen, wann und wie Schwachstellen im Einklang mit ihrer eigenen Umgebung gemindert werden können.“

Verwandt: ICS-Schwachstellen zählen: Untersuchung der von Sicherheitsfirmen gemeldeten Schwankungen in den Zahlen

Verwandt: Siemens treibt Anstieg der im Jahr 2022 entdeckten ICS-Schwachstellen voran: Bericht

Eduard Kovacs (@EduardKovacs) ist leitender Redakteur bei SecurityWeek. Er arbeitete zwei Jahre lang als IT-Lehrer an einer High School, bevor er eine journalistische Karriere als Sicherheitsnachrichtenreporter bei Softpedia begann. Eduard hat einen Bachelor-Abschluss in Industrieinformatik und einen Master-Abschluss in Computertechnik für die Elektrotechnik.

Abonnieren Sie das E-Mail-Briefing von SecurityWeek, um über die neuesten Bedrohungen, Trends und Technologien sowie aufschlussreiche Kolumnen von Branchenexperten informiert zu bleiben.

Besprechen Sie mit Sicherheitsexperten das ungenutzte Potenzial von ZTNA zur Reduzierung von Cyber-Risiken und zur Stärkung des Unternehmens.

Nehmen Sie an einem Webinar von Microsoft und Finite State teil, in dem eine neue Strategie zur Sicherung der Software-Lieferkette vorgestellt wird.

Das Durchdenken der guten, schlechten und hässlichen Gegenwart ist ein Prozess, der uns „den negativen Fokus zum Überleben, aber einen positiven zum Gedeihen“ gibt. (Marc Solomon)

Der Austausch von Bedrohungsinformationen und die Zusammenarbeit mit anderen Threat-Intelligence-Gruppen tragen dazu bei, den Kundenschutz zu stärken und die Wirksamkeit des Cybersicherheitssektors insgesamt zu steigern. (Derek Manky)

Die Sicherung von APIs ist eine noble, wenn auch komplexe Aufgabe. Sicherheitsteams können diese 10 Schritte nutzen, um ihre APIs zu schützen. (Joshua Goldfarb)

Während Silos erhebliche Gefahren für die Cybersicherheitslage eines Unternehmens darstellen, dient die Konsolidierung als leistungsstarke Lösung zur Bewältigung dieser Risiken und bietet verbesserte Transparenz, Effizienz, Möglichkeiten zur Reaktion auf Vorfälle und Risikomanagement. (Matt Wilson)

Der Bedarf an Cyber-Resilienz ergibt sich aus der wachsenden Erkenntnis, dass herkömmliche Sicherheitsmaßnahmen nicht mehr ausreichen, um Systeme, Daten und das Netzwerk vor Kompromittierung zu schützen. (Torsten George)

Flipboard

Der Gesamteffekt der aktuellen globalen geopolitischen Bedingungen besteht darin, dass Nationalstaaten einen größeren Anreiz haben, das ICS/OT kritischer Industrien ins Visier zu nehmen, während ...

Das mit der Cybersicherheit verbundene Risiko ist ein Hauptanliegen, daher müssen Vorstände wissen, dass sie über die richtige Aufsicht verfügen. Erfolgreiche CISOs machen schon als Berufseinsteiger...

Wago hat kritische Schwachstellen behoben, die es Hackern ermöglichen können, die vollständige Kontrolle über seine speicherprogrammierbaren Steuerungen (SPS) zu übernehmen.

Das Cybersicherheitsunternehmen Forescout zeigt, wie verschiedene ICS-Schwachstellen für einen Exploit verkettet werden können, der es Hackern ermöglicht, Schäden an einer Brücke anzurichten.

Otorio hat ein kostenloses Tool veröffentlicht, mit dem Unternehmen Probleme im Zusammenhang mit der DCOM-Authentifizierung erkennen und beheben können.

Im Jahr 2022 wurden mehr als 1.300 ICS-Schwachstellen entdeckt, darunter fast 1.000 mit einem hohen oder kritischen Schweregrad.

Der Internet-of-Things- (IoT) und industrielle IoT-Sicherheitsanbieter Shield-IoT gab diese Woche bekannt, dass er eine Serie-A-Finanzierungsrunde in Höhe von 7,4 Millionen US-Dollar abgeschlossen hat.