Bir endüstriyel kontrol sisteminin (ICS), potansiyel tehdit aktörlerinin yalnızca hedef uç noktaya erişmesine değil, aynı zamanda çok sayıda yüksek düzeyde kusur taşıdığı tespit edildi. (yeni sekmede açılır) – ancak aksi takdirde yasak olan tesislere fiziksel erişimi sağlamak için.
Trellix’ten siber güvenlik araştırmacıları yakın zamanda Carrier’ın HID Mercury tarafından üretilen ve araştırmacılara göre sağlık, eğitim, ulaşım ve devlet fiziksel güvenliğindeki kuruluşlar tarafından kullanılan LenelS2 erişim kontrol panellerini araştırdı.
Buldukları, biri maksimum güvenlik açığı puanı 10 olan toplam sekiz güvenlik açığıydı.
donanıma saldırmak
Araştırmacılar bir blog yazısında, “Bu proje için, erişim denetleyicisinin bir Linux İşletim Sistemi çalıştırdığını ve tahtaya kök erişiminin klasik donanım korsanlığı tekniklerinden yararlanılarak sağlanabileceğini bilerek, güvenlik açıklarını bulmak için güçlü bir potansiyel bekliyorduk” dedi.
“Kusurların bulunabileceğine inanırken, nispeten yeni bir teknolojide yaygın, eski yazılım güvenlik açıkları bulmayı beklemiyorduk.”
Önce donanıma, yani yerleşik bağlantı noktalarına saldırdılar (yeni sekmede açılır), bu onların yerleşik hata ayıklama bağlantı noktalarına erişmelerine izin verdi. Oradan, donanım yazılımına ve sistem ikili dosyalarına erişmeyi başardılar, bu da onlara donanım yazılımında tersine mühendislik ve canlı hata ayıklama yeteneği verdi.
O zaman araştırmacılar, tümü uzaktan kullanılabilecek altı kimliği doğrulanmamış ve iki kimliği doğrulanmış güvenlik açığı buldu.
Araştırmacılar ayrıca, “Güvenlik açıklarından yalnızca ikisini birbirine zincirleyerek, erişim kontrol panosundan yararlanabildik ve cihazda uzaktan kök düzeyinde ayrıcalıklar elde edebildik” dedi.
“Bu erişim seviyesiyle, meşru yazılımla birlikte çalışacak ve kapıları kontrol edecek bir program oluşturduk. Bu, herhangi bir kapının kilidini açmamıza ve herhangi bir sistem izlemesini bozmamıza izin verdi.”
Araştırmacılar, ciddiyet puanı 10 olan CVE-2022-31481’in yanı sıra, sırasıyla 9.0 ve 9.1 önem puanlarıyla CVE-2022-31479 ve CVE-2022-31483’ü de keşfettiler.
Ürünü ABD federal hükümeti tarafından incelenen Trellix, tüm müşterileri satıcı tarafından verilen yamaları derhal uygulamaya çağırdı.