3 опасных уязвимости в продуктах Omron открывают доступ к производству

3 опасных уязвимости в продуктах компании Omron приводят к DoS, запуску вредоносного ПО и получения доступа к управлению АСУ ТП. 10 ноября CISA опубликовала 2 бюллетеня с описанием 3-ех уязвимостей, затрагивающих контроллеры серий NJ и NX и программное обеспечение компании Omron:

• Уязвимость высокого уровня опасности CVE-2022-33971 (CVSS: 8,3), которая может позволить злоумышленнику, получившему доступ к целевому программируемому логическому контроллеру (ПЛК) Omron, вызвать состояние «отказа в обслуживании» (DoS) или запустить вредоносные программы.
• Критическая уязвимость жестко запрограммированных учетных данных CVE-2022-34151 (CVSS: 9,4), которую можно использовать для доступа к ПЛК Omron;
• Уязвимость высокого уровня опасности CVE-2022-33208 (CVSS: 8,1), которую можно использовать для получения конфиденциальной информации, а также для обхода аутентификации и получения доступа к контроллеру.

Компания Omron опубликовала рекомендации по этим уязвимостям в июле, а исправления были выпущены в июле и октябре. Раскрытие этих недостатков приписывают Рейду Вайтману, ведущему исследователю уязвимостей в ИБ-компании Dragos.

Вайтман объяснил, что для использования этих уязвимостей требуется сетевой доступ к ПЛК. Поисковая система Shodan показывает несколько десятков экземпляров затронутых ПЛК Omron, обнаруженных в Интернете. Открытые устройства расположены по всему миру, причем большинство находится в Норвегии, Австралии и на Тайване.

Злоумышленник может изменить логику работы ПЛК. Это может позволить ему включать и выключать насосы, освещение или другое оборудование. Также уязвимости могут быть использованы для предотвращения действий по обеспечению безопасности — например, вы нажимаете кнопку аварийной остановки, а она не срабатывает.

Также Вайтман заявил, что CVE-2022-34151 также используется в атаках на ICS под названием Pipedream (Incontroller) , в ходе которых хакеры могут использовать специально разработанное модульное вредоносное ПО для сканирования, компрометации и получения контроля над АСУ ТП и устройствами диспетчерского управления и сбора данных (SCADA).

OMRON Corporation — крупная японская корпорация, производитель электроники и один из мировых лидеров в производстве средств автоматизации. Осуществляет деятельность в 36 странах мира и включает 35000 сотрудников. На сегодняшний день капитализация компании составляет $9,68 млрд.