Uma vulnerabilidade crítica de segurança foi revelada em seis sistemas diferentes de medidor automático de tanques (ATG) de cinco fabricantes que podem estar expostos a ataques remotos.
“Essas vulnerabilidades representam riscos significativos no mundo real, pois podem ser exploradas por atores mal-intencionados para causar danos generalizados, incluindo danos físicos, riscos ambientais e perdas econômicas”, disse o pesquisador da Bitsight, Pedro Umbelino, em um relatório publicado na semana passada.
Para piorar a situação, a análise concluiu que milhares de ATG foram expostos online, tornando-os alvo de agentes mal-intencionados que procuram ataques perturbadores e destrutivos contra postos de gasolina, hospitais, aeroportos, bases militares e outras instalações de infra-estruturas críticas.
ATGs são sistemas de sensores projetados para monitorar o nível de um tanque de armazenamento (por exemplo, um tanque de combustível) durante um período de tempo, a fim de determinar vazamentos e limites. A exploração de falhas de segurança em tais sistemas pode ter consequências graves, incluindo negação de serviço (DoS) e danos físicos.
As 11 vulnerabilidades recentemente descobertas afetam seis modelos ATG, nomeadamente Maglink LX, Maglink LX4, OPW SiteSentinel, Proteus OEL8000, Alisonic Sibylla e Franklin TS-550. Oito dos 11 erros foram classificados como críticos em termos de gravidade –
- CVE-2024-45066 (pontuação CVSS: 10,0) – Injeção de comando do sistema operacional no Maglink LX
- CVE-2024-43693 (pontuação CVSS: 10,0) – Injeção de comando do sistema operacional no Maglink LX
- CVE-2024-43423 (pontuação CVSS: 9,8) – Autenticação codificada no Maglink LX4
- CVE-2024-8310 (pontuação CVSS: 9,8) – Autenticação de passagem no OPW SiteSentinel
- CVE-2024-6981 (pontuação CVSS: 9,8) – Autenticação pass-through no Proteus OEL8000
- CVE-2024-43692 (pontuação CVSS: 9,8) – Autenticação de passagem no Maglink LX
- CVE-2024-8630 (pontuação CVSS: 9,4) – Injeção de SQL em Alisonic Sibylla
- CVE-2023-41256 (pontuação CVSS: 9.1) – Ignorar autenticação no Maglink LX (duplicada do bug divulgado anteriormente)
- CVE-2024-41725 (pontuação CVSS: 8,8) – Cross-site scripting (XSS) no Maglink LX
- CVE-2024-45373 (pontuação CVSS: 8,8) – Elevação de privilégio no Maglink LX4
- CVE-2024-8497 (pontuação CVSS: 7,5) – Arquivo inesperado lido do Franklin TS-550
“Todas essas vulnerabilidades permitem direitos totais de administrador ao aplicativo do dispositivo e, algumas delas, acesso total ao sistema operacional”, disse Ubelino. “O ataque mais prejudicial é ativar os dispositivos de uma forma que possa causar danos físicos aos seus componentes ou aos componentes conectados a eles”.
Erros encontrados em OpenPLC, Riello NetMan 204 e AJCloud
Falhas de segurança também foram encontradas na solução de código aberto OpenPLC, incluindo um bug crítico de estouro de buffer de pilha (CVE-2024-34026, pontuação CVSS: 9,0) que poderia ser usado para execução remota de código.
“Ao enviar uma solicitação ENIP com um código de comando não suportado, um cabeçalho de texto válido e pelo menos 500 bytes no total, é possível escrever além do limite do buffer log_msg alocado e corromper a pilha”, disse Cisco Talos. “Dependendo das medidas de segurança habilitadas no host em questão, é possível uma maior exploração.”
Outro conjunto de falhas de segurança diz respeito à placa de interface de rede Riello NetMan 204 usada em seus sistemas de fonte de alimentação ininterrupta (UPS), que poderia permitir que atores mal-intencionados assumissem o controle do UPS e adulterassem os dados de registro coletados.
- CVE-2024-8877 – Injeção de SQL em três endpoints de API /cgi-bin/db_datalog_w.cgi, /cgi-bin/db_eventlog_w.cgi e /cgi-bin/db_multimetr_w.cgi permitindo modificação arbitrária de dados
- CVE-2024-8878 – Redefinição de senha não autorizada por meio do endpoint /recoverpassword.html que pode ser explorado para obter o netmanid no dispositivo, onde o código de recuperação de redefinição de senha é calculado.
“Inserir o código de recuperação em ‘/recoverpassword.html’ redefine as credenciais de login para admin:admin”, disse Thomas Weber, da CyberDanube, observando que isso poderia dar a um invasor a capacidade de sequestrar um dispositivo e desligá-lo.
Ambas as vulnerabilidades permanecem sem correção, exigindo que os usuários restrinjam o acesso aos dispositivos vulneráveis até que uma correção seja disponibilizada.
Também dignas de nota são algumas vulnerabilidades críticas na plataforma de gerenciamento de câmeras IP AJCloud que, se exploradas com sucesso, podem levar à exposição de dados confidenciais do usuário e dar aos invasores controle remoto total de qualquer câmera conectada a um serviço de nuvem residencial inteligente.
“O comando P2P integrado, que fornece intencionalmente acesso de gravação arbitrário a um arquivo de chave, pode ser usado para desabilitar câmeras permanentemente ou facilitar a execução remota de código criando um buffer overflow”, disse o Elastic Security Labs, definindo seus esforços de acesso. a empresa chinesa não teve sucesso até agora.
CISA alerta sobre ataques contínuos em redes OT
O desenvolvimento ocorre no momento em que a Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) sinaliza ameaças crescentes à tecnologia operacional (OT) e aos sistemas de controle industrial (ICS), incluindo aqueles no setor de Sistemas de Água e Águas Residuais (WWS).
“Sistemas TO/ICS expostos e vulneráveis podem permitir que atores cibernéticos usem credenciais automatizadas, realizem ataques maliciosos ou usem outros métodos não inteligentes para acessar esses dispositivos e causar danos”, afirmou a CISA.
No início de Fevereiro, o governo dos EUA sancionou seis funcionários ligados à agência de inteligência do Irão por atacarem infra-estruturas críticas nos EUA e noutros países.
O ataque envolveu atingir e comprometer controladores lógicos programáveis (PLCs) fabricados em Israel, fabricados pela Unitronics Vision Series, que são exibidos publicamente na Internet usando senhas padrão.
Desde então, a empresa de segurança cibernética industrial Claroty abriu o código-fonte de duas ferramentas chamadas PCM2TCP e PCOMClient, que permitem aos usuários extrair informações forenses de HMIs/PLCs integrados à Unitronics.
“PCOM2TCP permite aos usuários converter mensagens PCM seriais em mensagens TCP PCM e vice-versa”, afirmou. “A segunda ferramenta, chamada PCOMClient, permite que os usuários se conectem à sua série Unitronics Vision/Samba PLC, consultem-na e extraiam informações forenses do PLC.”
Além disso, a Claroty alertou que a implantação excessiva de soluções de acesso remoto em ambientes de TO – algo entre 4 e 16 – cria novos riscos operacionais e de segurança para as organizações.
“55% das organizações implantaram quatro ou mais ferramentas de acesso remoto que conectam TO e países externos, uma porcentagem preocupante para empresas com extensas superfícies de ataque que são complexas e caras de gerenciar”, observou.
“Os desenvolvedores e gestores de ativos devem buscar ativamente eliminar ou minimizar o uso de ferramentas de acesso remoto menos seguras no ambiente de TO, especialmente aquelas com vulnerabilidades conhecidas ou sem recursos críticos de segurança, como MFA”.
