Er zijn details naar voren gekomen over meerdere beveiligingsproblemen in twee implementaties van het Manufacturing Message Specification (MMS)-protocol die, als ze met succes worden uitgebuit, ernstige gevolgen kunnen hebben in industriële omgevingen.
“De kwetsbaarheden kunnen ervoor zorgen dat een aanvaller een industrieel apparaat kan laten crashen of in sommige gevallen code op afstand kan uitvoeren”, aldus Claroty-onderzoekers Mashav Sapir en Vera Mens in een nieuwe analyse.
MMS is een OSI-applicatielaag-berichtenprotocol dat het op afstand besturen en monitoren van industriële apparaten mogelijk maakt door toezichthoudende besturingsinformatie op een applicatie-onafhankelijke manier uit te wisselen.
Het maakt met name communicatie mogelijk tussen intelligente elektronische apparaten (IED’s) en toezichthoudende controle- en data-acquisitiesystemen (SCADA) of programmeerbare logische controllers (PLC’s).
De vijf tekortkomingen die door het operationele technologiebeveiligingsbedrijf zijn geïdentificeerd, hebben invloed op de libIEC61850-bibliotheek van MZ Automation en de TMW IEC 61850-bibliotheek van Triangle MicroWorks, en werden in september en oktober 2022 gepatcht na verantwoorde openbaarmaking –
- CVE-2022-2970 (CVSS-score: 10,0) – Een stack-gebaseerde bufferoverflow-kwetsbaarheid in libIEC61850 die kan leiden tot een crash of uitvoering van externe code
- CVE-2022-2971 (CVSS-score: 8,6) – Een kwetsbaarheid voor typeverwarring in libIEC61850 waardoor een aanvaller de server kan laten crashen met een kwaadaardige lading
- CVE-2022-2972 (CVSS-score: 10,0) – Een stack-gebaseerde bufferoverflow-kwetsbaarheid in libIEC61850 die kan leiden tot een crash of uitvoering van externe code
- CVE-2022-2973 (CVSS-score: 8,6) – Een null pointer respect-kwetsbaarheid waardoor een aanvaller de server kan laten crashen
- CVE-2022-38138 (CVSS-score:7,5) – Een toegang tot een niet-geïnitialiseerde pointer-kwetsbaarheid waarmee een aanvaller een denial-of-service (DoS)-toestand kan veroorzaken
Uit de analyse van Claroty bleek ook dat Siemens SIPROTEC 5 IED voor MMS-ondersteuning vertrouwde op een verouderde versie van SISCO’s MMS-EASE-stack, die gevoelig is voor een DoS-conditie via een speciaal vervaardigd pakket (CVE-2015-6574, CVSS-score: 7,5).
Het Duitse bedrijf heeft sindsdien zijn firmware geüpdatet met een bijgewerkte versie van de protocolstack vanaf december 2022, volgens een advies van de Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA).
Het onderzoek benadrukt de “kloof tussen de beveiligingseisen van moderne technologie en de verouderde, moeilijk te vervangen protocollen”, zei Claroty, en drong er bij leveranciers op aan de beveiligingsrichtlijnen van CISA te volgen.
De onthulling komt weken nadat Nozomi Networks twee kwetsbaarheden heeft beschreven in de referentie-implementatie van Espressif’s ESP-NOW draadloze protocol (CVE-2024-42483 en CVE-2024-42484) die replay-aanvallen mogelijk zouden kunnen maken en een DoS-conditie kunnen veroorzaken.
“Afhankelijk van het systeem waarop het doelwit is, kan deze kwetsbaarheid (CVE-2024-42483) diepgaande gevolgen hebben”, aldus het rapport. “ESP-NOW wordt gebruikt in beveiligingssystemen zoals gebouwalarmen, waardoor deze kunnen communiceren met bewegingssensoren.”
“In een dergelijk scenario zou een aanvaller deze kwetsbaarheid kunnen misbruiken om een eerder onderschept legitiem ‘OFF’-commando opnieuw af te spelen, waardoor een bewegingssensor naar believen kan worden uitgeschakeld.”
Als alternatief zou het gebruik van ESP-NOW in deuropeners op afstand, zoals automatische poorten en garagedeuren, kunnen worden bewapend om een ”OPEN”-commando te onderscheppen en dit op een later tijdstip opnieuw af te spelen om ongeautoriseerde toegang tot gebouwen te verkrijgen.
In augustus wierp Nozomi Networks ook licht op een reeks niet-gepatchte 37 kwetsbaarheden in de OpenFlow libfluid_msg parsing-bibliotheek, gezamenlijk FluidFaults genoemd, die een tegenstander zou kunnen misbruiken om Software-Defined Networking (SDN)-applicaties te laten crashen.
“Een aanvaller met netwerkzichtbaarheid voor een OpenFlow-controller/forwarder kan een kwaadaardig OpenFlow-netwerkpakket verzenden dat leidt tot een denial-of-service (DoS)-aanval”, aldus het bedrijf.
De afgelopen maanden zijn er ook beveiligingsfouten ontdekt in het TwinCAT/BSD-besturingssysteem van Beckhoff Automation, waardoor PLC’s kunnen worden blootgesteld aan logicamanipulatie, DoS-aanvallen en zelfs opdrachtuitvoering met root-privileges op de controller.
