Uma vulnerabilidade de bypass de segurança de alta gravidade foi divulgada em dispositivos ControlLogix 1756 da Rockwell Automation que pode ser explorada para executar comandos de configuração e programação de protocolo industrial comum (CIP).
A falha, à qual é atribuído o identificador CVE CVE-2024-6242possui uma pontuação CVSS v3.1 de 8,4.
“Existe uma vulnerabilidade nos produtos afetados que permite que um agente de ameaça ignore o recurso Trusted Slot em um controlador ControlLogix”, disse a Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) em um comunicado.
“Se explorado em qualquer módulo afetado em um chassi 1756, um agente de ameaça poderia executar comandos CIP que modificam projetos de usuários e/ou configurações de dispositivos em um controlador Logix no chassi.”
A empresa de segurança de tecnologia operacional Claroty, que descobriu e relatou a vulnerabilidade, disse ter desenvolvido uma técnica que tornou possível ignorar o recurso de slot confiável e enviar comandos maliciosos para a CPU do controlador lógico de programação (PLC).
O recurso de slot confiável “impõe políticas de segurança e permite que o controlador negue a comunicação por caminhos não confiáveis no chassi native”, disse a pesquisadora de segurança Sharon Brizinov.
“A vulnerabilidade que encontramos, antes de ser corrigida, permitiu que um invasor saltasse entre slots de backplane locais dentro de um chassi 1756 usando roteamento CIP, atravessando o limite de segurança destinado a proteger a CPU de placas não confiáveis.”
Embora uma exploração bem-sucedida exija acesso à rede do dispositivo, um invasor pode tirar vantagem da falha para enviar comandos elevados, incluindo o obtain de lógica arbitrária para a CPU do PLC, mesmo se o invasor estiver localizado atrás de uma placa de rede não confiável.
Após divulgação responsável, a deficiência foi corrigida nas seguintes versões:
- ControlLogix 5580 (1756-L8z) – Atualização para as versões V32.016, V33.015, V34.014, V35.011 e posteriores.
- GuardLogix 5580 (1756-L8zS) – Atualização para as versões V32.016, V33.015, V34.014, V35.011 e posteriores.
- 1756-EN4TR – Atualização para versões V5.001 e posteriores.
- 1756-EN2T Série D, 1756-EN2F Série C, 1756-EN2TR Série C, 1756-EN3TR Série B e 1756-EN2TP Série A – Atualização para a versão V12.001 e posterior
“Essa vulnerabilidade tinha o potencial de expor sistemas de controle críticos a acesso não autorizado pelo protocolo CIP originado de slots de chassi não confiáveis”, disse Brizinov.
