Не стой на месте, отправляйся искать новые тупики.
Выходя за границы познания, не выходи из себя.
Не стой на месте, отправляйся искать новые тупики.
Выходя за границы познания, не выходи из себя.
Австрийская компания B&R, входящая в группу ABB, поблагодарила старшего специалиста отдела анализа приложений Positive Technologies Наталью Тляпову за обнаружение пяти уязвимостей в базе данных системы управления производственными процессами APROL. Решение применяется в энергетической, машиностроительной, нефтегазовой, пищевой и других отраслях. Производитель был уведомлен об угрозе в рамках политики ответственного разглашения и исправил уязвимости в новых версиях ПО.
«Наибольшую опасность представляли три уязвимости, которые позволили бы злоумышленнику осуществить удаленное выполнение кода, — рассказывает Наталья Тляпова. — Это CVE-2022-43761 (оценка 9,4 по шкале CVSS v3.1), CVE-2022-43762 (оценка 7,5) и CVE-2022-43764 (оценка 9,8). Комбинация этих ошибок могла использоваться для проникновения на сервер, на котором запущена B&R APROL, а CVE-2022-43761 сама по себе давала возможность чтения и искажения информации в базе данных этой системы. Такие изменения могли привести к нештатному режиму работы системы управления и нарушению технологического процесса».
Ещё две уязвимости, найденные Натальей Тляповой, — CVE-2022-43763 и CVE-2022-43765 (оценки 7,5) — позволяли выполнить атаку типа «отказ в обслуживании».
Пользователям необходимо установить исправленные версии системы APROL (R 4.2-07 с AutoYaST или V4.2-070.0.120102). Эти обновления обеспечивают защищенный доступ к базе данных с помощью TLS-шифрования.
Для поиска следов нарушений информационной безопасности в сетях АСУ ТП и выявления кибератак на ранней стадии компания Positive Technologies предлагает программно-аппаратный комплекс глубокого анализа технологического трафика — PT Industrial Security Incident Manager (PT ISIM), который выявляет эксплуатацию уязвимостей APROL, описанных в этом материале. PT ISIM — часть платформы для выявления киберугроз и реагирования на инциденты в промышленных системах PT Industrial Cybersecurity Suite.
Исследования Positive Technologies не в первый раз позволяют компании B&R повысить защищенность своих продуктов. В 2019 году Positive Technologies помогла исправить множественные уязвимости в 12 компонентах системы B&R APROL.