Миллионы дырявых ПЛК, свитчей и IoT-устройств угрожают безопасности компаний

В августе 2019 года были обнародованы 11 уязвимостей под общим названием Urgent/11. Еще 5 уязвимостей с общим названием CDPwn объявились в начале 2020 года и тогда же получили заплатки. Но 97% устройств подверженных заражению Urgent/11 и 80% устройств уязвимых к CDPwn-атакам до сих пор не получили обновлений безопасности.

Уязвимости Urgent11 затрагивают операционную систему реального времени (ОСРВ) VxWorks от американской компании Wind River Systems. На сегодняшний день VxWorks является самой популярной ОСРВ и она установлена более чем на 2 млрд устройств. В ходе анализа VxWorks исследователи выявили 11 уязвимостей в сетевом стеке протоколов TCP/IP (IPnet), отвечающем за подключение устройств к интернету или другим устройствам в локальной сети. Шесть из них позволяют удаленно выполнить произвольный код. Уязвимости Urgent11 затрагивают все версии VxWorks, начиная с 6.5. Некоторые из них можно эксплуатировать непосредственно через интернет, для эксплуатации других же потребуется наличие доступа к локальной сети.

Так, корпоративный брандмауэр или маршрутизатор с VxWorks на борту в случае взлома сможет предоставить злоумышленникам доступ ко всем устройствам в локальной сети. Но аналогичная уязвимость на промышленном ПЛК менее опасна, так как ПЛК обычно не подключены к интернету постоянно. По мнению экспертов Armis и Wind River, уязвимости URGENT/11 наиболее опасны именно для сетевого оборудования (маршрутизаторов, модемов и брандмауэров), тогда как медицинские и промышленные устройства в основном не доступны через интернет напрямую и находятся в относительной безопасности.

Компания Cisco 5 февраля 2020 года выпустила обновления безопасности для многих своих продуктов, закрывающие 5 уязвимостей CDPwn. Эти уязвимости были обнажены специалистами компании Armis в проприетарном протоколе Cisco Discovery Protocol (CDP), который используют во многих устройствах Cisco: роутерах, межсетевых экранах, коммутаторах, VoIP-телефонах и IP-камерах.

Аналитики из ИБ-компании Armis имеют возможность отслеживать уязвимость оборудования по версии прошивки. В настоящее время облачная платформа Armis позволяет мониторить 280 млн устройств, используемых в критически важных отраслях.

Для выявления обновленных прошивок не подверженных Urgent/11 исследователи составили контрольную выборку из ПЛК производства Rockwell Automation и Schneider Electric. Присутствие CDPwn они отслеживали по состоянию свитчей Cisco Nexus и VoIP-устройств серий 78xx и 88xx. Результаты проверки в обоих случаях оказались плачевными.

Всего у 2,38% ПЛК Rockwell Automation и 0,95% ПЛК Schneider Electric были установлены прошивки, которые не подвержены Urgent/11. Прошивку с защитой от CDPwn получили от 10% до 50% свитчей в зависимости от сектора промышленности.

Комментарии: