Impatto Sistemico

Critico (76.82)

Sintesi

Rilevate molteplici nuove vulnerabilità, di cui 8 con gravità “critica” e 5 con gravità “alta”, nei prodotti Dixell XWEB EVO, sistemi di supervisione, monitoraggio e controllo per impianti di refrigerazione commerciale e HVAC. Tali vulnerabilità potrebbero consentire a un utente malintenzionato remoto di eludere i meccanismi di autenticazione, modificare determinati parametri di configurazione, compromettere la disponibilità del servizio o eseguire codice arbitrario sui sistemi interessati.

Tipologia

• Remote Code Execution
• Authentication Bypass
• Tampering
• Denial of Service

Prodotti e/o versioni affette

Dixell XWEB EVO, tutte le versioni

N.B. Si evidenzia che per i prodotti elencati il vendor non rilascerà alcun aggiornamento considerata la relativa data di fine supporto (EOL).

Azioni di mitigazione

Il fornitore ha dichiarato lo stato di End-of-Life (EOL) per i prodotti interessati, di conseguenza non rilascerà aggiornamenti di sicurezza per sanare le vulnerabilità rilevate. Pertanto, si raccomanda di valutare la migrazione verso soluzioni attualmente supportate.

Nelle more della sostituzione, al fine di ridurre la superficie d’attacco e mitigare il rischio di compromissione, si raccomanda di implementare le seguenti misure di mitigazione:

• Censire gli apparati interessati: identificare tutti i dispositivi XWEB EVO presenti nell’infrastruttura, verificandone modello, versione firmware, collocazione e modalità di accesso, al fine di definire le priorità di intervento e pianificarne la sostituzione.
• Rimuovere l’esposizione diretta su Internet: verificare che le interfacce di amministrazione web (HTTP/HTTPS) e gli altri servizi di rete dei dispositivi non siano direttamente raggiungibili da reti pubbliche tramite port forwarding , NAT, indirizzi IP pubblici o altri meccanismi di pubblicazione dei servizi.
• Segregare i sistemi a livello di rete: isolare i controllori all’interno di VLAN OT dedicate, applicando regole di filtraggio restrittive (ACL/firewall) per consentire esclusivamente i flussi di comunicazione strettamente necessari all’operatività, impedendo connessioni non autorizzate da e verso le reti IT aziendali e le reti esterne.
• Limitare l’accesso alle interfacce di gestione: consentire l’accesso amministrativo esclusivamente da postazioni e indirizzi IP autorizzati, prevedendo per gli accessi remoti l’utilizzo di connessioni VPN cifrate con autenticazione a più fattori (MFA) e il passaggio attraverso bastion/jump host dedicati.
• Proteggere l’accesso alle interfacce web: ove necessario, interporre un reverse proxy con meccanismi di autenticazione forte (es. mTLS), configurato per impedire l’accesso alle risorse applicative da parte di client non autorizzati. Garantire inoltre che il dispositivo non sia raggiungibile direttamente, aggirando i controlli del proxy.
• Applicare misure di hardening : sostituire le credenziali predefinite o deboli, rimuovere o disabilitare le utenze non necessarie (ove consentito) e disattivare i protocolli e i servizi non indispensabili all’operatività, verificando contestualmente l’assenza di account sconosciuti o modifiche non autorizzate alle configurazioni e ai parametri operativi, con particolare attenzione alle soglie di allarme e ai cicli di sbrinamento. Considerare che le vulnerabilità associate a credenziali integrate nel firmware o a meccanismi di autenticazione prevedibili non possono essere risolte mediante la sola modifica delle password.
• Monitorare il traffico di rete: adottare sistemi di rilevamento delle anomalie (IDS/NDR), preferibilmente mediante monitoraggio passivo del segmento OT dedicato, al fine di individuare tempestivamente scansioni, richieste HTTP anomale, tentativi di accesso non autorizzati e flussi sospetti potenzialmente riconducibili a tentativi di compromissione o manipolazione degli apparati.

Di seguito sono riportate le sole CVE relative alle vulnerabilità con gravità “critica” e “alta”: