Beş üreticinin altı farklı Otomatik Tank Göstergesi (ATG) sisteminde, onları uzaktan saldırılara maruz bırakabilecek kritik güvenlik açıkları ortaya çıktı.
Bitsight araştırmacısı Pedro Umbelino, “Bu güvenlik açıkları, kötü niyetli aktörler tarafından fiziksel hasar, çevresel tehlikeler ve ekonomik kayıplar da dahil olmak üzere geniş çapta hasara neden olacak şekilde kullanılabileceğinden önemli gerçek dünya riskleri teşkil ediyor.” söz konusu Geçen hafta yayınlanan bir raporda.
Daha da kötüsü analiz, binlerce ATG’nin internete maruz kaldığını ve bunun da onları benzin istasyonlarına, hastanelere, havalimanlarına, askeri üslere ve diğer kritik altyapı tesislerine yıkıcı ve yıkıcı saldırılar düzenlemek isteyen kötü niyetli aktörler için kazançlı bir hedef haline getirdiğini ortaya çıkardı.
ATG’ler, sızıntıyı ve parametreleri belirlemek amacıyla bir depolama tankının (örneğin yakıt deposu) seviyesini belirli bir süre boyunca izlemek için tasarlanmış sensör sistemleridir. Dolayısıyla bu tür sistemlerdeki güvenlik açıklarından yararlanılması, hizmet reddi (DoS) ve fiziksel hasar dahil olmak üzere ciddi sonuçlara yol açabilir.
Yeni keşfedilen 11 güvenlik açığı etkilemek altı ATG modeli, yani Maglink LX, Maglink LX4, OPW SiteSentinel, Proteus OEL8000, Alisonic Sibylla ve Franklin TS-550. 11 kusurdan sekizinin ciddiyeti kritik olarak derecelendirildi –
- CVE-2024-45066 (CVSS puanı: 10,0) – Maglink LX’te işletim sistemi komut ekleme
- CVE-2024-43693 (CVSS puanı: 10,0) – Maglink LX’te işletim sistemi komut ekleme
- CVE-2024-43423 (CVSS puanı: 9,8) – Maglink LX4’te sabit kodlanmış kimlik bilgileri
- CVE-2024-8310 (CVSS puanı: 9,8) – OPW SiteSentinel’de kimlik doğrulamayı atlama
- CVE-2024-6981 (CVSS puanı: 9,8) – Proteus OEL8000’de kimlik doğrulamayı atlama
- CVE-2024-43692 (CVSS puanı: 9,8) – Maglink LX’te kimlik doğrulamayı atlama
- CVE-2024-8630 (CVSS puanı: 9,4) – Alisonic Sibylla’da SQL enjeksiyonu
- CVE-2023-41256 (CVSS puanı: 9,1) – Maglink LX’te kimlik doğrulamayı atlama (daha önce açıklanan bir kusurun kopyası)
- CVE-2024-41725 (CVSS puanı: 8,8) – Maglink LX’te siteler arası komut dosyası oluşturma (XSS)
- CVE-2024-45373 (CVSS puanı: 8,8) – Maglink LX4’te ayrıcalık artışı
- CVE-2024-8497 (CVSS puanı: 7,5) – Franklin TS-550’de rastgele dosya okundu
Umbelino, “Tüm bu güvenlik açıkları, cihaz uygulamasında tam yönetici ayrıcalıklarına ve bazıları da tam işletim sistemi erişimine izin veriyor” dedi. “En zarar verici saldırı, cihazların bileşenlerine veya ona bağlı bileşenlere fiziksel zarar verebilecek şekilde çalışmasını sağlamaktır.”
OpenPLC, Riello NetMan 204 ve AJCloud’da Keşfedilen Kusurlar
Açık kaynaklı OpenPLC çözümünde, uzaktan kod yürütmeyi gerçekleştirmek için kullanılabilecek kritik bir yığın tabanlı arabellek taşması hatası (CVE-2024-34026, CVSS puanı: 9.0) dahil olmak üzere güvenlik kusurları da ortaya çıkarıldı.
Cisco Talos, “Desteklenmeyen bir komut kodu, geçerli bir kapsülleme başlığı ve toplam en az 500 bayt içeren bir ENIP isteği göndererek, tahsis edilen log_msg arabelleğinin sınırlarının ötesine yazmak ve yığını bozmak mümkündür.” söz konusu. “Söz konusu ana bilgisayarda etkinleştirilen güvenlik önlemlerine bağlı olarak, daha fazla istismar mümkün olabilir.”
Bir başka güvenlik açığı seti, kötü niyetli kişilerin UPS’in kontrolünü ele geçirmesine ve hatta toplanan günlük verilerini kurcalamasına olanak tanıyan, Kesintisiz Güç Kaynağı (UPS) sistemlerinde kullanılan Riello NetMan 204 ağ iletişim kartıyla ilgilidir.
- CVE-2024-8877 – Üç API uç noktasında /cgi-bin/db_datalog_w.cgi, /cgi-bin/db_eventlog_w.cgi ve /cgi-bin/db_multimetr_w.cgi’de keyfi veri değişikliğine izin veren SQL enjeksiyonu
- CVE-2024-8878 – /recoverpassword.html uç noktası aracılığıyla kimliği doğrulanmamış parola sıfırlama, parolayı sıfırlamaya yönelik kurtarma kodunun hesaplanabileceği aygıttan netmanid elde etmek için kötüye kullanılabilir
CyberDanube’dan Thomas Weber, “‘/recoverpassword.html’ dosyasına kurtarma kodunun girilmesi, oturum açma kimlik bilgilerini admin:admin olarak sıfırlar.” söz konusubunun saldırgana cihazı ele geçirip kapatma olanağı verebileceğini belirtiyor.
Her iki güvenlik açığı da yama uygulanmadan kalıyor ve bu durum, bir düzeltme sağlanana kadar kullanıcıların kritik ortamlardaki cihazlara erişimini sınırlamasını gerektiriyor.
Ayrıca, bazı kritik güvenlik açıklarının da bulunduğunu unutmayın. AJCloud Başarılı bir şekilde kullanılması durumunda hassas kullanıcı verilerinin açığa çıkmasına yol açabilecek ve saldırganlara akıllı ev bulut hizmetine bağlı herhangi bir kameranın tam uzaktan kontrolünü sağlayabilecek IP kamera yönetim platformu.
Elastic Security Labs, “Bir anahtar yapılandırma dosyasına kasıtlı olarak rastgele yazma erişimi sağlayan yerleşik bir P2P komutu, kameraları kalıcı olarak devre dışı bırakmak veya arabellek taşmasını tetikleyerek uzaktan kod yürütülmesini kolaylaştırmak için kullanılabilir.” söz konusuÇinli şirkete ulaşma çabalarının bugüne kadar başarısızlıkla sonuçlandığını belirtti.
CISA, OT Ağlarına Karşı Devam Eden Saldırılar Konusunda Uyardı
Bu gelişme, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı’nın (CISA), Su ve Atık Su Sistemleri (WWS) Sektörü de dahil olmak üzere internetten erişilebilen operasyonel teknoloji (OT) ve endüstriyel kontrol sistemleri (ICS) cihazlarına yönelik artan tehditleri işaretlemesiyle ortaya çıktı.
CISA, “Açık ve savunmasız OT/ICS sistemleri, siber tehdit aktörlerinin varsayılan kimlik bilgilerini kullanmasına, kaba kuvvet saldırıları gerçekleştirmesine veya bu cihazlara erişip zarar vermek için diğer karmaşık olmayan yöntemleri kullanmasına izin verebilir.” söz konusu.
Bu Şubat ayının başlarında ABD hükümeti, İran istihbarat teşkilatı ile bağlantılı altı yetkiliye, ABD ve diğer ülkelerdeki kritik altyapı kuruluşlarına saldırdıkları için yaptırım uyguladı.
Bu saldırılar, varsayılan şifrelerin kullanımı yoluyla internete kamuya açık olan İsrail yapımı Unitronics Vision Serisi programlanabilir mantık denetleyicilerinin (PLC’ler) hedef alınmasını ve ele geçirilmesini içeriyordu.
Endüstriyel siber güvenlik şirketi Claroty, o zamandan beri kullanıcıların Unitronics ile entegre HMI’lardan/PLC’lerden adli tıp bilgileri almasına olanak tanıyan PCOM2TCP ve PCOMClient adlı açık kaynaklı iki araca sahip.
“PCOM2TCP, kullanıcıların seri PCOM mesajlarını TCP PCOM mesajlarına (veya tam tersi) dönüştürmesine olanak tanır” söz konusu. “PCOMClient adı verilen ikinci araç, kullanıcıların Unitronics Vision/Samba serisi PLC’lerine bağlanmalarına, onu sorgulamalarına ve PLC’den adli bilgiler çıkarmalarına olanak tanıyor.”
Ayrıca Claroty, uzaktan erişim çözümlerinin aşırı şekilde konuşlandırıldığı konusunda uyardı. OT ortamları – dört ile 16 arasında herhangi bir yer – kuruluşlar için yeni güvenlik ve operasyonel riskler oluşturur.
“Kuruluşların %55’i, OT’yi dış dünyaya bağlayan dört veya daha fazla uzaktan erişim aracı kullandı; bu, karmaşık ve yönetimi pahalı olan geniş saldırı yüzeylerine sahip şirketlerin endişe verici bir yüzdesidir.” not edildi.
“Mühendisler ve varlık yöneticileri, OT ortamındaki düşük güvenlikli uzaktan erişim araçlarının, özellikle de bilinen güvenlik açıklarına sahip olanların veya MFA gibi temel güvenlik özelliklerine sahip olmayanların kullanımını aktif olarak ortadan kaldırmaya veya en aza indirmeye çalışmalıdır.”