.
Quinze bugs no software de sistemas de controle industrial da Codesys podem ser explorados para desligar usinas de energia ou roubar informações de ambientes críticos de infraestrutura, afirmam especialistas.
Em um relatório e muito mais publicado no GitHub, o especialista em inteligência de ameaças da Microsoft, Vladimir Tokarev, diz que a gigante do Windows – conhecida por falhas de segurançatosse – divulgou detalhes de vulnerabilidades no Codesys V3 SDK para o fornecedor com sede na Alemanha em setembro de 2022. Desde então, a Codesys corrigiu os bugs.
O SDK é amplamente utilizado, dizem, e fornece um ambiente de desenvolvimento para engenheiros configurarem e testarem controladores lógicos programáveis (PLCs) para sistemas industriais. O firmware de muitos CLPs contém rotinas de biblioteca da Codesys para executar os programas dos engenheiros, e é esse código embutido que é explorável, resultando em equipamentos vulneráveis a ataques.
Enquanto a equipe da Microsoft se concentrou no firmware em CLPs feitos pela Schneider Electric e Wago, o Codesys V3 é disponível para cerca de 1.000 tipos de dispositivos de mais de 500 fabricantes, o que totaliza até “vários milhões de dispositivos” que usam o código Codesys para implementar IEC 61131-3 – o padrão internacional para linguagens de programação de equipamentos industriais independentes do fornecedor – de acordo com os caçadores de bugs.
Portanto, se o seu ambiente de tecnologia operacional (OT) usa dispositivos com qualquer firmware com bugs, atualize agora se puder para evitar ataques de execução remota de código (RCE) ou negação de serviço (DoS).
As 15 vulnerabilidades, rastreadas como CVE-2022-47379 até CVE-2022-47393 inclusive, receberam classificações de gravidade CVSS de 8,8 em 10, exceto para CVE-2022-47391, que obteve 7,5. É o único que não pode ser abusado para RCE. A exploração de qualquer um desses buracos requer que um invasor seja capaz de autenticar e fazer login.
Uma dúzia são vulnerabilidades de estouro de buffer. Em um redação separadaa equipe de inteligência de ameaças da Microsoft descreveu o processo de exploração da seguinte forma:
Para ser claro, essas não são explorações fáceis. Eles não apenas exigem autenticação do usuário ou credenciais roubadas, mas um intruso precisará de “conhecimento profundo do protocolo proprietário do Codesys V3 e da estrutura dos diferentes serviços que o protocolo usa”, observou Redmond.
Mas, considerando o quão alto são os riscos – e o potencial de causar interrupções fechando fábricas ou desligando a energia – sugerimos enfaticamente corrigir o mais rápido possível. Por um lado, as falhas podem ser exploradas para interromper silenciosamente as operações, criar situações inseguras ou perigosas ou afetar máquinas de maneiras fora de sua programação esperada, a la StuxnetName.
Bem, você sabe, em teoria.
Como a Microsoft alertou: “Um ataque DoS contra um dispositivo usando uma versão vulnerável do Codesys pode permitir que agentes de ameaças desliguem uma usina de energia, enquanto a execução remota de código pode criar um backdoor para dispositivos e permitir que invasores adulterem as operações, fazendo com que um PLC seja executado de maneira incomum ou roubar informações críticas.”
Perguntamos à Codesys se ela tem mais algum comentário. ®
.
