Die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) hat in dieser Woche eine Empfehlung für industrielle Kontrollsysteme (ICS) veröffentlicht, in der vor mehreren Schwachstellen in der Engineering-Software Mitsubishi Electric GX Works3 gewarnt wird.
„Eine erfolgreiche Ausnutzung dieser Schwachstellen könnte es unbefugten Benutzern ermöglichen, sich Zugang zu den CPU-Modulen der MELSEC iQ-R/F/L-Serie und dem OPC-UA-Server-Modul der MELSEC iQ-R-Serie zu verschaffen oder Programme anzuzeigen und auszuführen“, so die Agentur.
GX Works3 ist eine Engineering-Workstation-Software, die in ICS-Umgebungen eingesetzt wird und als Mechanismus zum Hoch- und Herunterladen von Programmen von/auf die Steuerung, zur Fehlerbehebung bei Software- und Hardwareproblemen und zur Durchführung von Wartungsarbeiten dient.
Die breite Palette an Funktionen macht sie auch zu einem attraktiven Ziel für Bedrohungsakteure, die solche Systeme kompromittieren wollen, um die verwalteten PLCs zu übernehmen.
Drei der zehn Mängel beziehen sich auf die Speicherung sensibler Daten im Klartext, vier auf die Verwendung eines fest kodierten kryptografischen Schlüssels, zwei auf die Verwendung eines fest kodierten Passworts und einer auf unzureichend geschützte Anmeldeinformationen.
Die kritischsten Fehler, CVE-2022-25164 und CVE-2022-29830, haben einen CVSS-Score von 9.1 und könnten missbraucht werden, um Zugriff auf das CPU-Modul zu erlangen und Informationen über Projektdateien zu erhalten, ohne dass irgendwelche Berechtigungen erforderlich sind.
Nozomi Networks, das CVE-2022-29831 (CVSS-Score: 7.5) entdeckte, sagte, dass ein Angreifer mit Zugriff auf eine Sicherheits-SPS-Projektdatei das hart kodierte Passwort ausnutzen könnte, um direkt auf das Sicherheits-CPU-Modul zuzugreifen und möglicherweise industrielle Prozesse zu stören.
„Die Projektierungssoftware stellt eine kritische Komponente in der Sicherheitskette von Industriesteuerungen dar“, so das Unternehmen. „Sollten in ihr Schwachstellen auftreten, können Angreifer sie missbrauchen, um letztlich die verwalteten Geräte und damit den überwachten industriellen Prozess zu kompromittieren.“
Die Offenlegung erfolgt, nachdem die CISA Details zu einer Denial-of-Service-Schwachstelle (DoS) in der MELSEC iQ-R-Serie von Mitsubishi Electric aufgedeckt hat, die auf eine unzureichende Eingabevalidierung zurückzuführen ist (CVE-2022-40265, CVSS-Score: 8.6).
„Wenn diese Schwachstelle erfolgreich ausgenutzt wird, kann ein entfernter, nicht authentifizierter Angreifer einen Denial-of-Service-Zustand auf einem Zielprodukt auslösen, indem er speziell gestaltete Pakete sendet“, so die CISA.
In diesem Zusammenhang hat die Cybersecurity-Agentur auch drei Schwachstellen im Remote Compact Controller (RCC) 972 von Horner Automation beschrieben, von denen die kritischste (CVE-2022-2641, CVSS-Score: 9.8) zur Remote-Code-Ausführung oder zu einem DoS-Zustand führen kann.
Sie fanden diesen Artikel interessant? Folgen Sie uns auf Twitter und LinkedIn, um weitere exklusive Inhalte von uns zu lesen.
Einige Teile dieses Artikels stammen aus:
thehackernews.com
Der Wert der alten Systeme