A Siemens lançou patches para certos produtos de automação que têm uma vulnerabilidade crítica na proteção de memória, que os invasores podem explorar para executar código arbitrário para acessar áreas de memória, permitindo-lhes acessar dados confidenciais e usá-los para lançar novos ataques, de acordo com um comunicado da empresa.
O alerta observa que a vulnerabilidade, rastreada como CVE-2020-15782, está classificada em 8.1 no sistema de pontuação comum de vulnerabilidades (CVSS), o que é altamente crítico. A falha afeta sete produtos da linha de produtos de automação da Siemens Simatic S7-1200 e S7-1500 CPU.
A empresa lançou atualizações para os produtos afetados e pediu aos clientes que implementassem os patches imediatamente. “A Siemens está preparando novas atualizações e recomenda contramedidas específicas para produtos onde as atualizações ainda não estão disponíveis”, afirma a empresa.
A empresa não respondeu imediatamente ao site Information Security Media Group por informações adicionais sobre se houve explorações bem-sucedidas da falha.
Desvendando a falha
A empresa de segurança Claroty, que analisou a vulnerabilidade, diz que conseguiu desbloquear um produto da Siemens explorando a falha. “O Santo Graal na pesquisa de vulnerabilidade do PLC [controlador lógico programável], da perspectiva do invasor, é alcançar a execução irrestrita e não detectada do código no PLC”, afirma Claroty. “Demonstramos um novo e sofisticado ataque remoto que nos permite obter execução de código nativo em PLCs Siemens S7.”
Veja isso
Sistemas Siemens estão vulneráveis
Pesquisadores localizam backdoor em em CLPs da Siemens
A Claroty diz que conseguiu fazer o jailbreak (exploração de falha) de um dispositivo escapando da caixa de proteção do usuário e, em seguida, gravando um código de shell em regiões protegidas da memória. “Escapar da sandbox significa que um invasor seria capaz de ler e escrever de qualquer lugar no PLC”, escreve Tal Keren, pesquisador de segurança da Claroty. “Este código de shell malicioso, quando executado, nos deu a execução remota de código. Usamos essa técnica para instalar um programa em nível de kernel com algumas funcionalidades que estão completamente ocultas para o sistema operacional.”
Mitigação de risco
A Siemens aconselhou fortemente os usuários dos produtos afetados a tomar medidas de mitigação de risco, incluindo:
- Habilite a proteção por senha para comunicação S7 e configure proteção de acesso adicional para os dispositivos, como o uso de recursos de segurança integrados;
- Bloqueie conexões de clientes remotos, mesmo quando o cliente pode fornecer a senha correta;
- Impeça o acesso físico a componentes críticos;
- Certifique-se de que os sistemas vulneráveis não estejam conectados a redes não confiáveis.
Ataques anteriores
Os hackers já comprometeram dispositivos Simatic vulneráveis. Por exemplo, o ataque de malware Stuxnet de 2010 contra instalações nucleares iranianas teve como alvo os dispositivos Simatic S7-300 e S7-400 da Siemens.
“O Stuxnet foi capaz de ocultar a alteração do código no PLC, manipulando binários na estação de engenharia local”, diz Keren. “Isso permitiu que o malware não apenas se instalasse furtivamente em PLCs, mas também se protegesse do WinCC quando o software de controle tentasse ler blocos de memória infectados do PLC.”
Logo depois, um grupo de pesquisadores de segurança de Israel demonstrou como eles poderiam ter como alvo o sistema de controle industrial da Siemens usando uma técnica chamada ataque de estação de engenharia desonesta, na qual eles poderiam iniciar ou parar o sistema remotamente.
