三菱電機
安全廠商Nozomi Networks發現三菱電機可程式化邏輯控制器(programmable logic controller,PLC)的3項軟體漏洞,可能讓攻擊者輕鬆駭入PLC而影響生產過程。
漏洞存在三菱電機安全PLC及相關工程工作站軟體GX Works3使用的通訊協定MELSOFT中。GX Works3是三菱電機專為MELSEC iQ-R和MELSEC iQ-F Series控制系統設計的編程和維護軟體。GX Works3和安全CPU模組相關的專案檔案是以加密儲存,需要使用者名稱和密碼才能開啟。
最新MELSOFT漏洞是Nozomi Networks繼去年8月在同一協定發現五項漏洞後,最新揭露的瑕疵。這三項漏洞分別為CVE-2022-29831、CVE-2022-29832和CVE-2022-29833。其中CVE-2022-29831為使用寫死密碼,CVE-2022-29832為記憶體敏感資訊明碼儲存,CVE-2022-29833則為登入憑證保護不足。影響產品包括三菱電機的GX Works3及MX OPC UA Module Configurator-R。
由於三項漏洞都還沒有修補程式,現階段,安全廠商並未公布漏洞技術細節,只提供大致描述。
安全廠商指出,最嚴重情況下,攻擊者只要取得一個GX Works3專案檔案就可以成功利用漏洞。方法有好幾個,包括透過配置錯誤的檔案伺服器、存取共享電腦、竊聽未受保護的通訊等。只要其中一種成功,攻擊者就能立刻濫用前二個漏洞,取得專案檔案中關於專案本身,及安全CPU模組註冊的帳號用戶名的敏感資訊。
但如果資產持有人曾重覆使用安全CPU模組的登入憑證,就可能發生嚴重後果。攻擊者可能串連3個漏洞,取得重要的攻擊原語(primitive),使其可直接存取及駭入該安全CPU模組,進而擾亂製造過程。
美國電腦安全暨基礎架構安全管理署(CISA)已對三項漏洞發出安全公告。CISA將三漏洞聯合風險列為CVSS v3 9.1,屬重大漏洞。
目前軟體廠商無法修補漏洞,三菱電機則準備修補CVE-2022-29831,並為CVE-2022-29832、CVE-2022-29833提供緩解方法。在此之前,為降低風險,安全廠商建議用戶儘可能限制安全CPU專案檔案的存取權限,不論是在傳輸或儲存狀態,變更安全CPU模組上的所有弱密碼。此外,安全廠商呼籲安全CPU專案檔案的開啟憑證絕對不要重覆使用。
漏洞是否遭到濫用不得而知。7月安全廠商Drago發現有人在社群網站張貼網路廣告訊息,販售PLC或人機介面(HMI)的密碼破解工具,涵括的PLC品牌包括三菱、歐姆龍、松下(Panasonic)、富士電機(Fuji Electric)、LG及台達自動化等。
巧合的是,CISA發出安全公告,警告歐姆龍(Omron)的NJ、NX系列PLC系統產品線一項軟體漏洞遭到攻擊。
熱門新聞
2024-10-05
2024-10-07
2024-10-07
2024-10-07
2024-10-05
2024-10-07
2024-10-07