Siemens SICAM PAS (Power Automation System)

2024: На энергетические компании по всему миру обрушились кибератаки из-за дыр в устройствах Siemens

В конце июня 2024 года стало известно, что энергетические компании по всему миру могут стать мишенями для кибератак из-за дыр в устройствах Siemens.

В мае 2024 года компания Siemens выпустила обновления для оборудования, используемого рядом энергетических компаний, в частности, для удаленного терминала Sicam A8000, сетевых датчиков Sicam EGS и программного обеспечения для автоматизации электропитания Sicam 8. Эти обновления были призваны устранить ряд уязвимостей высокого и среднего уровня серьезности.

𝓲

Unsplash

Одна из этих уязвимостей (CVE-2024-31484) связана с проблемой переполнения буфера, которую злоумышленники могут использовать для извлечения конфиденциальных данных из памяти устройств. Другая уязвимость (CVE-2024-31485) связана с введением команд в веб-интерфейсе, что позволяет злоумышленникам перехватывать логины и пароли пользователей и запускать свой код от лица администратора. Третья проблема (CVE-2024-31486) связана с недостаточной защитой паролей, что позволяет злоумышленникам получить учетные данные клиентов.

Консалтинговая компания по кибербезопасности SEC Consult опубликовала рекомендации с подробным описанием каждой из уязвимостей. Злоумышленнику сначала требуется получить доступ на уровне сети к порту 443/80, чтобы взаимодействовать с целью. Используя уязвимость CVE-2024-31484, злоумышленник может украсть необходимую информацию из сегмента общей памяти и использовать в будущих атаках. Кроме того, если злоумышленнику удалось получить учетную запись с низким уровнем привилегий для SICAM-WEB, он может использовать другую уязвимость, CVE-2024-31485 для получения пароля администратора. Переключившись на учетную запись администратора, злоумышленник может перенастроить устройство и тем самым дестабилизировать подстанцию. После исправления уязвимостей сотрудникам подстанций следует изменить все пароли, поскольку их конфиденциальность могла быть скомпрометирована.^[1]

2016

Эксперты рекомендуют как можно скорее установить обновления, выпущенные производителем ПО, а также заблокировать доступ к определенным портам

Специалисты компании Positive Technologies Илья Карпов и Дмитрий Скляров выявили в 2016 году уязвимости в программном обеспечении Siemens SICAM PAS (Power Automation System), предназначенном для построения АСУ ТП в энергетике. Данное ПО используется на подстанциях различных классов напряжения в России, странах Европы и на других континентах. Производитель подтвердил наличие брешей и выпустил рекомендации по их устранению^[2].Рынок IIoT в РФ: рост или тупик?

Уязвимости связаны с ненадежным хранением паролей и разглашением чувствительной информации. Наибольшую опасность представляет ошибка безопасности CVE-2016-8567, получившая оценку 9,8 по 10-балльной шкале CVSSv3, что соответствует высокому уровню опасности. Злоумышленники могут удаленно получить привилегированный доступ к базе данных SICAM PAS, используя стандартную возможность дистанционного конфигурирования через TCP-порт 2638 и жестко закодированные пароли в заводских учетных записях.

Вторая обнаруженная Positive Technologies уязвимость CVE-2016-8566 с оценкой 7,8 позволяет узнать учетные записи пользователей и восстановить к ним пароли (после получения доступа к базе данных SICAM PAS). Причина — в слабых алгоритмах хеширования паролей.

«Критический уровень опасности этих уязвимостей обусловлен возможностью удаленно переконфигурировать SICAM PAS на энергетическом объекте, блокировать работу системы диспетчеризации или вызвать различные аварии, включая системные», — отметил руководитель отдела исследований и аудита промышленных систем управления Positive Technologies Илья Карпов.

Для устранения этих уязвимостей производитель рекомендует обновить SICAM PAS до версии 8.0. Необходимо также заблокировать доступ к портам 19235/TCP и 19234/TCP с помощью, например, брандмауэра Windows, что позволит до выпуска дополнительных патчей закрыть две другие^[3] описанные в бюллетене безопасности бреши.

Это не первая совместная работа двух компаний в 2016 году. Летом Siemens сообщил о двух уязвимостях CVE-2016-5848 и CVE-2016-5849, обнаруженных также Ильей Карповым и Дмитрием Скляровым. Данные уязвимости получили низкий уровень опасности, так как ими нельзя воспользоваться удаленно (оценка 2,5 по шкале CVSSv3). Для их устранения надо обновить SICAM PAS до версии 8.08.

В октябре 2016 года Siemens опубликовал информацию также о двух уязвимостях (CVE-2016-7959 и CVE-2016-7960)^[4] в интегрированной среде разработки программного обеспечения SIMATIC STEP 7 (TIA Portal), найденных руководителем отдела анализа приложений Positive Technologies Дмитрием Скляровым. В частности, злоумышленник, имея локальный доступ к проектам SIMATIC STEP 7 и TIA Portal, может разобрать алгоритм скрытия хешей паролей и узнать используемые пароли в проекте для ПЛК Simatic S7.

Примечания