Surgiram detalhes sobre múltiplas vulnerabilidades de segurança em duas implementações do protocolo Manufacturing Message Specification (MMS) que, se exploradas com sucesso, poderiam ter impactos graves em ambientes industriais.
“As vulnerabilidades podem permitir que um invasor bloqueie um dispositivo industrial ou, em alguns casos, permitir a execução remota de código”, disseram os pesquisadores da Claroty, Mashav Sapir e Vera Mens, em uma nova análise.
MMS é um protocolo de mensagens da camada de aplicação OSI que permite o controle remoto e o monitoramento de dispositivos industriais, trocando informações de controle de supervisão de maneira independente da aplicação.
Especificamente, permite a comunicação entre dispositivos eletrônicos inteligentes (IEDs) e sistemas de controle de supervisão e aquisição de dados (SCADA) ou controladores lógicos programáveis (CLPs).
As cinco deficiências identificadas pela empresa de segurança de tecnologia operacional impactam a biblioteca libIEC61850 da MZ Automation e a biblioteca TMW IEC 61850 da Triangle MicroWorks, e foram corrigidas em setembro e outubro de 2022 após divulgação responsável –
- CVE-2022-2970 (Pontuação CVSS: 10,0) – Uma vulnerabilidade de buffer overflow baseada em pilha na libIEC61850 que pode levar a uma falha ou execução remota de código
- CVE-2022-2971 (Pontuação CVSS: 8,6) – Uma vulnerabilidade de confusão de tipo na libIEC61850 que pode permitir que um invasor trave o servidor com uma carga maliciosa
- CVE-2022-2972 (Pontuação CVSS: 10,0) – Uma vulnerabilidade de buffer overflow baseada em pilha na libIEC61850 que pode levar a uma falha ou execução remota de código
- CVE-2022-2973 (Pontuação CVSS: 8,6) – Uma vulnerabilidade de deferência de ponteiro nulo que pode permitir que um invasor trave o servidor
- CVE-2022-38138 (Pontuação CVSS: 7,5) – Um acesso de vulnerabilidade de ponteiro não inicializado que permite que um invasor trigger uma condição de negação de serviço (DoS).
A análise da Claroty também descobriu que o IED Siemens SIPROTEC 5 dependia de uma versão desatualizada da pilha MMS-EASE da SISCO para suporte MMS, que é suscetível a uma condição DoS por meio de um pacote especialmente criado (CVE-2015-6574, pontuação CVSS: 7,5).
Desde então, a empresa alemã atualizou seu firmware com uma versão atualizada da pilha de protocolos em dezembro de 2022, de acordo com um comunicado divulgado pela Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA).
A pesquisa destaca a “lacuna entre as demandas de segurança da tecnologia moderna e os protocolos desatualizados e difíceis de substituir”, disse Claroty, instando os fornecedores a seguirem as diretrizes de segurança emitidas pela CISA.
A divulgação ocorre semanas depois que a Nozomi Networks detalhou duas vulnerabilidades na implementação de referência do protocolo sem fio ESP-NOW da Espressif (CVE-2024-42483 e CVE-2024-42484) que poderia permitir ataques de repetição e causar uma condição DoS.
“Dependendo do sistema visado, esta vulnerabilidade (CVE-2024-42483) pode ter consequências profundas”, afirmou. “ESP-NOW é usado em sistemas de segurança, como alarmes prediais, permitindo que eles se comuniquem com sensores de movimento.”
“Em tal cenário, um invasor poderia explorar esta vulnerabilidade para reproduzir um comando legítimo ‘OFF’ previamente interceptado, desabilitando assim um sensor de movimento à vontade.”
Alternativamente, o uso do ESP-NOW em abridores remotos de portas, como portões automáticos e portas de garagem, poderia ser transformado em arma para interceptar um comando “ABRIR” e reproduzi-lo posteriormente para obter acesso não autorizado a edifícios.
Em agosto, a Nozomi Networks também lançou luz sobre um conjunto de 37 vulnerabilidades não corrigidas na biblioteca de análise OpenFlow libfluid_msg, chamada coletivamente de FluidFaults, que um adversário poderia explorar para travar aplicativos de rede definida por software program (SDN).
“Um invasor com visibilidade de rede para um controlador/encaminhador OpenFlow pode enviar um pacote de rede OpenFlow malicioso que leva a um ataque de negação de serviço (DoS)”, disse a empresa.
Nos últimos meses, também foram descobertas falhas de segurança no sistema operacional TwinCAT/BSD da Beckhoff Automation que poderiam expor os CLPs a adulterações lógicas, ataques DoS e até mesmo execução de comandos com privilégios de root no controlador.
