Han surgido detalles sobre múltiples vulnerabilidades de seguridad en dos implementaciones de la Especificación de mensajes de fabricación (MMS) protocolo que, si se explota con éxito, podría tener graves impactos en entornos industriales.
“Las vulnerabilidades podrían permitir a un atacante bloquear un dispositivo industrial o, en algunos casos, permitir la ejecución remota de código”, dijeron los investigadores de Claroty Mashav Sapir y Vera Mens en un nuevo análisis.
MMS es un Protocolo de mensajería de capa de aplicación OSI que permite el control y monitoreo remotos de dispositivos industriales mediante el intercambio de información de control de supervisión de manera independiente de la aplicación.
En concreto, permite la comunicación entre dispositivos electrónicos inteligentes (artefactos explosivos improvisados) y sistemas de supervisión, control y adquisición de datos (SCADA) o controladores lógicos programables (PLC).
Las cinco deficiencias identificadas por la empresa de seguridad tecnológica operativa impactan en el negocio de MZ Automation libIEC61850 biblioteca y Triangle MicroWorks’ TMW IEC 61850 biblioteca, y fueron parcheados en septiembre y octubre de 2022 luego de una divulgación responsable:
- CVE-2022-2970 (Puntuación CVSS: 10.0): una vulnerabilidad de desbordamiento del búfer basada en pila en libIEC61850 que podría provocar un bloqueo o la ejecución remota de código.
- CVE-2022-2971 (Puntuación CVSS: 8,6): una vulnerabilidad de confusión de tipos en libIEC61850 que podría permitir a un atacante bloquear el servidor con una carga útil maliciosa.
- CVE-2022-2972 (Puntuación CVSS: 10.0): una vulnerabilidad de desbordamiento del búfer basada en pila en libIEC61850 que podría provocar un bloqueo o la ejecución remota de código.
- CVE-2022-2973 (Puntuación CVSS: 8,6): una vulnerabilidad de deferencia de puntero nulo que podría permitir que un atacante bloquee el servidor.
- CVE-2022-38138 (Puntuación CVSS: 7,5): una vulnerabilidad de acceso de puntero no inicializado que permite a un atacante provocar una condición de denegación de servicio (DoS).
El análisis de Claroty también encontró que Siemens SIPROTEC 5 IED se basó en una versión obsoleta de la pila MMS-EASE de SISCO para la compatibilidad con MMS, que es susceptible a una condición DoS a través de un paquete especialmente diseñado (CVE-2015-6574puntuación CVSS: 7,5).
Desde entonces, la empresa alemana ha actualizado su firmware con una versión actualizada de la pila de protocolos a diciembre de 2022, según un consultivo publicado por la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA).
La investigación destaca la “brecha entre las demandas de seguridad de la tecnología moderna y los protocolos obsoletos y difíciles de reemplazar”, dijo Claroty, instando a los proveedores a seguir las pautas de seguridad emitidas por CISA.
La divulgación se produce semanas después de que Nozomi Networks detallara dos vulnerabilidades en la implementación de referencia del protocolo inalámbrico ESP-NOW de Espressif (CVE-2024-42483 y CVE-2024-42484) que podrían permitir ataques de repetición y causar una condición DoS.
“Dependiendo del sistema al que se dirige, esta vulnerabilidad [CVE-2024-42483] puede tener consecuencias profundas”, dicho. “ESP-NOW se utiliza en sistemas de seguridad, como alarmas de edificios, permitiéndoles comunicarse con sensores de movimiento”.
“En tal escenario, un atacante podría explotar esta vulnerabilidad para reproducir un comando ‘OFF’ legítimo previamente interceptado, desactivando así un sensor de movimiento a voluntad”.
Alternativamente, el uso de ESP-NOW en abridores de puertas remotos, como portones automáticos y puertas de garaje, podría usarse como arma para interceptar un comando “ABRIR” y reproducirlo más tarde para obtener acceso no autorizado a los edificios.
En agosto, Nozomi Networks también arrojó luz sobre un conjunto de 37 vulnerabilidades sin parches en la biblioteca de análisis OpenFlow libfluid_msg, denominadas colectivamente FluidFaults, que un adversario podría explotar para bloquear aplicaciones de redes definidas por software (SDN).
“Un atacante con visibilidad de red para un controlador/reenviador OpenFlow puede enviar un paquete de red OpenFlow malicioso que conduzca a un ataque de denegación de servicio (DoS)”, dijo la empresa. dicho.
En los últimos meses también se han detectado fallos de seguridad. descubierto en el sistema operativo TwinCAT/BSD de Beckhoff Automation que podría exponer los PLC a manipulación lógica, ataques DoS e incluso ejecución de comandos con privilegios de root en el controlador.