Positive Technologies помогла устранить уязвимость в контроллерах OMRON

Закрытая уязвимость CVE-2023-22357 получила оценку 9,1 по шкале CVSS v3, что означает критический уровень опасности. Её эксплуатация позволяла без аутентификации считывать и менять произвольную область памяти контроллера. Такие манипуляции могли привести к перезаписи прошивки, отказу в обслуживании или выполнению произвольного кода. Производитель был уведомлен об угрозе в рамках политики ответственного разглашения и устранил уязвимость в новых прошивках.

Контроллеры OMRON серии CP1L используются для управления компактными машинами, а также быстрого построения систем автоматизации. ПЛК применяются, например, для управления конвейерами и станками, телемеханикой трубопроводных узлов на ГРЭС, микроклиматом на фермах, системами контроля качества продукции, автоматическими машинами упаковки и в других сферах.

Уязвимость в контроллере OMRON CP1L-EL20DR-D обнаружил эксперт Positive Technologies Георгий Кигурадзе. Ошибка связана с наличием недокументированных команд в коммуникационном протоколе FINS. Такие команды используются для отладки программного обеспечения ПЛК.

«В случае целенаправленной кибератаки эксплуатация этой уязвимости привела бы к остановке технологического процесса или к выходу оборудования из строя. Используя фирменное или собственное ПО и недостатки в протоколе FINS, злоумышленники могли негативно повлиять на работу оборудования: внести изменения в выполняемые алгоритмы, загрузить вредоносную прошивку, изменить значения переменных, принудительно выставить недопустимые значения на выходах модулей в обход алгоритмов блокировки, — рассказал Владимир Назаров, руководитель отдела безопасности промышленных систем управления Positive Technologies. — Сегодня для анализа защищенности производственных систем и проверки реализуемости недопустимых событий необходимо использовать киберучения. Такие мероприятия позволяют узнать, к чему может привести атака в аналогичной инфраструктуре, чтобы разработать меры защиты и сценарии реагирования».

Для устранения уязвимости производитель контроллеров рекомендует обновить прошивку устройства и включить расширенную защиту паролем (функция Extend protection password). Обнаружить атаки через протокол FINS возможно при использовании продуктов для анализа технологического трафика, например, PT Industrial Security Incident Manager (PT ISIM).