В контроллерах Honeywell Experion PKS и ACE обнаружены критические уязвимости

Агентство по кибербезопасности и безопасности инфраструктуры США (CISA) выпустило бюллетень относительно множественных уязвимостей, затрагивающих все версии контроллеров Honeywell Experion Process Knowledge System C200, C200E, C300 и ACE. Эксплуатация проблем позволяет удаленно выполнить код и вызвать состояние отказа в обслуживании (DoS).

Experion Process Knowledge System (PKS) — распределенная система управления (DCS), предназначенная для управления крупными производственными процессами, охватывающими множество секторов, от нефтехимических заводов до атомных электростанций, где важны высокая надежность и безопасность.

Как сообщили специалисты Honeywell, библиотека Control Component Library (CCL) может быть изменена злоумышленником и загружена в контроллер для выполнения вредоносного кода

Уязвимости обнаружили специалисты Рей Хенигман (Rei Henigman) и Надав Эрез (Nadav Erez) из компании Claroty:

• CVE-2021-38397 (максимальные 10 баллов по шкале CVSS) — неограниченная загрузка файла опасного типа;

• CVE-2021-38395 (оценка в 9,1 балла по шкале CVSS) — некорректная нейтрализация специальных элементов в выходных данных, используемых нижестоящим компонентом;

• CVE-2021-38399 (оценка в 7,5 балла по шкале CVSS) — относительный обход пути.

Проблемы связаны с процедурой загрузки кода, которая необходима для программирования логики в контроллере, что позволяет злоумышленнику имитировать процесс и загружать произвольные двоичные файлы CLL.

«Затем устройство загружает исполняемые файлы без выполнения проверок или очистки, давая злоумышленнику возможность загружать исполняемые файлы и запускать неавторизованный собственный код удаленно без аутентификации», — пояснили эксперты.

Успешное использование проблем может позволить злоумышленнику получить доступ к неавторизованным файлам и каталогам, удаленно выполнить произвольный код и вызвать состояние отказа в обслуживании.

Пользователям настоятельно рекомендуется применить исправления, устраняющие данные уязвимости.