PT-2015-13: Несанкционированный доступ в Siemens SIMATIC HMI Devices
(PT-2015-13) Positive Technologies Security Advisory
Несанкционированный доступ в Siemens SIMATIC HMI Devices
Уязвимое ПО
Siemens SIMATIC HMI Basic Panels 2nd Generation
Siemens SIMATIC HMI Comfort Panels
Siemens SIMATIC WinCC Runtime Advanced
Siemens SIMATIC WinCC Runtime Professional
Siemens SIMATIC HMI Basic Panels 1st Generation
Siemens SIMATIC HMI Mobile Panel 277
Siemens SIMATIC HMI Multi Panels
Siemens SIMATIC WinCC (TIA Portal)
Версия: 13 SP1 Upd1 и более ранняя
Siemens SIMATIC WinCC
Версия: 7.3 Upd3 и более ранняя
Ссылка:
http://www.siemens.com/
Рейтинг опасности
Уровень опасности: Средний
Воздействие: Несанкционированный доступ
Вектор атаки: Удаленный
CVSS v2:
Base Score: 6.8
Vector: (AV:N/AC:M/Au:N/C:P/I:P/A:P)
CVE: CVE-2015-2823
Описание программы
SIMATIC HMI Panels и SIMATIC WinCC Runtime Advanced используются для управления агрегатами и заводами, а также для контроля их работы
Описание уязвимости
Специалисты Исследовательского центра Positive Research компании Positive Technologies обнаружили уязвимость "Несанкционированный доступ" в Siemens SIMATIC HMI Devices.
Уязвимость позволяет злоумышленникам, действующим удаленно, получить доступ к хэш-значениям паролей пользователей SIMATIC WinCC и завершить процесс аутентификации.
Решение
Установите последнюю версию приложения
Статус уведомления
22.04.2014 - Производителю отправлены детали уязвимости
08.04.2015 - Производитель выпустил исправление
23.07.2015 - Публикация уязвимости
Благодарности
Уязвимость обнаружил Илья Карпов (Исследовательский центр Positive Research компании Positive Technologies)
Ссылки
http://www.securitylab.ru/lab/PT-2015-13
http://www.siemens.com/innovation/pool/de/forschungsfelder/siemens_security_advisory_ssa-487246.pdf
Список отчетов о ранее обнаруженных уязвимостях Positive Research:
http://www.ptsecurity.ru/lab/advisory/
http://www.securitylab.ru/lab/
О Positive Technologies
Positive Technologies www.ptsecurity.ru - одна из ведущих российских компаний в области информационной безопасности.
Основные направления деятельности компании - разработка систем комплексного мониторинга информационной безопасности (XSpider, MaxPatrol); предоставление консалтинговых и сервисных услуг в области информационной безопасности; развитие специализированного портала Securitylab.ru.
Заказчиками Positive Technologies являются более 40 государственных учреждений, более 50 банков и финансовых структур, 20 телекоммуникационных компаний, более 40 промышленных предприятий, компании ИТ-индустрии, сервисные и ритейловые компании России, стран СНГ, Балтии, а также Великобритании, Германии, Голландии, Израиля, Ирана, Китая, Мексики, США, Таиланда, Турции, Эквадора, ЮАР, Японии.
Positive Technologies - это команда высококвалифицированных разработчиков, консультантов и экспертов, которые обладают большим практическим опытом, имеют профессиональные звания и сертификаты, являются членами международных организаций и активно участвуют в развитии отрасли.