W poniższym tekście nie będziemy pisać o Windowsach czy Androidzie, których popularności pod względem ataków i exploitów nie jest w stanie przebić nikt. Trochę się nam to już się przejadło, dlatego dziś postanowiliśmy napisać o urządzeniach przemysłowych Siemensa, których cyberbezpieczeństwo i krytyczne podatności również dotyczy. Ataki na sprzęt, który steruje pracą fabryki czy elektrowni, może być drastyczny w skutkach, dużo bardziej niż atak na infrastrukturę informatyczną firmy z sektorów biznesowych.
Zespół ds. Bezpieczeństwa Positive Technologies opublikował niepokojące informacje o urządzeniach przemysłowych Siemens powszechnie stosowanych w elektrowniach na paliwa kopalne i odnawialne źródła energii. Wykrytych zostało 17 różnych podatności, z których najpoważniejsze to błędy umożliwiające zdalne wykonanie kodu. Produkt Siemens, o którym mowa to SPPA-T3000, rozproszony system do sterowania i nadzorowania wytwarzania energii elektrycznej, używany w głównych elektrowniach w USA, Rosji, Niemczech i innych krajach.
Specjalista odpowiedzialny za wykrycie i analizę podatności pisze: „Wykorzystując niektóre z tych luk, osoba atakująca może uruchomić dowolny kod na serwerze aplikacyjnym, tym samym przejmując kontrolę nad operacjami produkcyjnymi i zakłócając je. Potencjalnie może to zatrzymać wytwarzanie energii elektrycznej i spowodować awarie w elektrowniach, w których zainstalowane są podatne urządzenia.”
Najpoważniejsze z błędów pozwalają na włączenie RCE (Remote Code Execution) na serwerze aplikacyjnym. Na przykład CVE-2019-18283 polega na deserializacji niezaufanych danych i wykorzystanie specjalnie przygotowanego obiektu do wywołania jednej z funkcji. Dwie inne krytyczne luki, CVE-2019-18315 oraz CVE-2019-18316, pozwalają osobie atakującej na zdalne wywoływanie komend tylko dzięki umieszczeniu ich w odpowiednim nagłówku protokołu TCP i wykorzystaniu portów 8888 lub 1099.
Najwięcej podatności (bo aż 10 z 17) znaleziono na serwerze migracyjnym systemu SPPA-T3000. Dwie z nich umożliwiają zdalny odczyt i zapis dowolnych plików! Dla przykładu osoba atakująca może odczytać plik /etc/shadow, który zawiera hashe użytkowników, co następnie pozwala na siłowe łamanie haseł. Znaleziono też podatność, która pozwala na przepełnienie sterty w pamięci uruchomionych programów i spowodowanie reakcji analogicznej do ataku DDoS.
Siemens w swojej obronie zakomunikował, że podatności nie są tak krytyczne jakby mogło się wydawać, ponieważ wykorzystanie ich wymaga dostępu do aplikacji Siemensa lub sieci Automation Highway, czyli sieci łączącej komponenty przemysłowe. Jeśli wszystko skonfigurowane jest według zaleceń i best-practices Siemensa, to teoretycznie nie ma żadnego zagrożenia.
Producent zapowiedział, że pracuje nad aktualizacjami. W między czasie elektrownie powinny ograniczyć dostęp do sieci przemysłowej, najlepiej za pomocą dedykowanej zapory SPPA-T3000 i wyłączyć wszelkie mostkowanie sieci.
Według Siemens, żadna z podatności nie została wykorzystana w targetowanym ataku. Pomyślmy jednak, co mogą czuć teraz operatorzy systemów sterowania w podatnych elektrowniach, pracując ze świadomością, że ich działania mogą być sabotowane przez cyberprzestępców.
Wybrany post: Krytyczne podatności pozwalające na zdalne wykonanie kodu zagrażają globalnym elektrowniom
