Gefährdung von Industrieanlagen durch Fuji Code-Execution Bugs

  • Fuji Electric’s Tellus Lite V-Simulator und V-Server Lite können es Angreifern ermöglichen, die Konvergenz von Betriebstechnik (OT) und IT in Fabrikhallen, Versorgungsbetrieben und mehr auszunutzen.

    Industrielle Steuerungssoftware (ICS) von Fuji Electric ist anfällig für mehrere hochgradig gefährliche Sicherheitsfehler, die eine willkürliche Code-Ausführung ermöglichen, so eine Warnung der Behörden. Die Behörden warnen, dass die Fehler physische Angriffe auf Fabrik- und kritische Infrastrukturanlagen ermöglichen könnten.

    Der Tellus Lite V-Simulator und der V-Server Lite von Fuji Electric sind beide von den Schwachstellen betroffen, die alle einen CVSS-Schweregrad von 7,8 aufweisen. Beide bilden ein umfassendes Human-Machine-Interface (HMI)-System, das zur Fernüberwachung und Erfassung von Produktionsdaten in Echtzeit sowie zur Steuerung einer Vielzahl von Industrieanlagen und kritischen Infrastrukturen eingesetzt wird. Es kann als Schnittstelle zu speicherprogrammierbaren Steuerungen (SPS), Temperaturreglern, Wechselrichtern usw. verschiedener Hersteller verwendet werden.

    “Eine erfolgreiche Ausnutzung dieser Schwachstellen könnte es einem Angreifer ermöglichen, Code unter den Privilegien der Anwendung auszuführen”, erklärte die CISA.

    Die Sicherheitslücken erfordern “geringe Fähigkeiten, um sie auszunutzen”, so ein Advisory der Cybersecurity and Infrastructure Security Agency (CISA) diese Woche. Sie sind nicht aus der Ferne ausnutzbar, so dass nicht-lokale Angreifer zunächst Zugriff auf den Computer des Benutzers erhalten müssen, bevor sie bösartige Aktivitäten durchführen können. Saryu Nayyar, CEO von Gurucul, erklärte jedoch gegenüber Threatpost, dass dies keine allzu große Hürde darstellt.

    “Der wahrscheinlichste Angriffsvektor ist die Kompromittierung des Desktops eines Anwenders durch eine der unzähligen gängigen Methoden oder die anderweitige Erlangung des Zugangs zur Umgebung und zu den betroffenen Plattformen”, sagte sie. “Ein böswilliger Akteur würde dann eine Datei auf das System hochladen, die den Exploit ausnutzt und es ihm ermöglicht, den Server zu kompromittieren.”

    Real-World-Angriffsszenarien

    Während die beste Praxis in industriellen Umgebungen darin besteht, die physische Ausrüstung in einer isolierten Umgebung (der operativen Technologie oder OT-Umgebung) zu betreiben, verbinden Plattformen wie der Tellus Lite V-Simulator und der V-Server Lite zunehmend IT-Ressourcen mit dieser ehemals isolierten Umgebung. Das wiederum öffnet das ICS für potenzielle physische Angriffe.

    “Eine der größten Herausforderungen für ICS- und SCADA-Systeme ist, dass sie sich nicht mehr in isolierten Netzwerken befinden – sie sind im Grunde mit dem Internet verbunden, wenn auch typischerweise durch eine ‘Firewall’ abgeschottet”, erklärt Christian Espinoza, Managing Director bei Cerberus Sentinel, im Gespräch mit Threatpost. “Das erhöht das Risiko für eine Schwachstelle erheblich.”[Blocked Image: https://media.threatpost.com/wp-content/uploads/sites/103/2021/01/29122858/Tellus-300x151.png]

    Nayyar sagte, dass in diesem Fall das Worst-Case-Szenario darin bestünde, dass ein Angreifer eine Datei ausführt, die umfangreiche Schäden an den Produktionsanlagen in der Linie verursachen könnte. Ein wahrscheinlicheres Szenario ist jedoch die Verlangsamung der Produktion und der Verlust wertvoller Daten über die Vorgänge an den Produktionslinien”, sagte sie.

    Die Schwachstellen könnten laut Espinoza ein paar andere Hauptziele erreichen.

    “Angreifer könnten die auf den HMI-Überwachungssystemen angezeigten Daten verändern, so dass die Menschen, die die Systeme überwachen, blind für einen Angriff auf die entfernten Geräte wären”, erklärte er. Er benutzte die Analogie, eine Schleife in ein Kamerafeed zu legen, das von einem Wachmann überwacht wird, so dass ein Krimineller einen Einbruch durchführen kann, ohne dass der Wachmann es bemerkt.

    “Oder sie könnten einen Stimulus auf dem Überwachungsdisplay erzeugen, der eine vorgeschriebene Reaktion auslöst”, fügte er hinzu und merkte an, dass dies mit dem Auslösen eines Feueralarms vergleichbar ist, der die Person, die das System überwacht, dazu veranlasst, die Sprinkleranlage einzuschalten, um das Feuer zu löschen und gleichzeitig die Ausrüstung zu zerstören.

    “Stuxnet hat eine ähnliche Schwachstelle ausgenutzt”, sagte er. “Eine der Schwachstellen in Stuxnet war so konzipiert, dass auf dem HMI alles in Ordnung aussah, so dass der Bediener nicht darauf aufmerksam gemacht wurde, dass sich die Zentrifugen mit einer extrem hohen Geschwindigkeit drehten, wodurch sie kaputt gingen.”

    Spezifische Schwachstellen bei Fuji Electric

    Fünf verschiedene Arten von Sicherheitslücken existieren in anfälligen Versionen des Fuji Electric Tellus Lite V-Simulator und V-Server Lite. In allen Fällen wurden sie in der Art und Weise identifiziert, wie die Anwendung Projektdateien verarbeitet, was es einem Angreifer ermöglicht, eine spezielle Projektdatei zu erstellen, die die Ausführung von beliebigem Code ermöglichen kann.

    Die Bugs sind:

    • Mehrere stapelbasierte Pufferüberlaufprobleme, die gemeinsam als CVE-2021-22637 verfolgt werden;
    • Mehrere Out-of-Bounds-Read-Probleme, die gemeinsam als CVE-2021-22655 verfolgt werden;
    • Mehrere Out-of-Bounds-Write-Probleme, die gemeinsam als CVE-2021-22653 verfolgt werden;
    • Es wurde ein Problem mit nicht initialisierten Zeigern identifiziert (CVE-2021-22639);
    • Und ein Heap-basiertes Pufferüberlaufproblem ist ebenfalls vorhanden (CVE-2021-22641).

    Die Plattform ist in Versionen vor v4.0.10.0 verwundbar. Laut CISA gibt es bisher keine bekannten öffentlichen Exploits, die speziell auf diese Schwachstellen abzielen, aber Administratoren sollten so schnell wie möglich einen Patch anwenden.

    “Dieser Angriff ist ein spezifischer Exploit gegen eine spezifische Plattform, und es gibt bereits Patches – das ist der erste Schritt zur Abschwächung des Angriffs”, sagte Nayyar. “Generell ist es immer eine gute Praxis, Systeme gepatcht zu halten. Produktionsanlagen sollten in einer möglichst isolierten Umgebung betrieben werden, um die Anfälligkeit zu verringern; und Steuerungssysteme müssen mit Richtlinien, Prozessen und technischen Cybersicherheitsmaßnahmen geschützt werden, die das Risiko eines unbefugten Zugriffs verringern.”

    Kimiya, Khangkito – Tran Van Khang von VinCSS und ein anonymer Forscher, der mit der Zero-Day-Initiative von Trend Micro zusammenarbeitet, wurden für die Meldung der Schwachstellen an die CISA verantwortlich gemacht.

    Laden Sie unser exklusives KOSTENLOSES Threatpost Insider eBook Healthcare Security Woes Balloon in a Covid-Era World, sponsored by ZeroNorth, herunter, um mehr darüber zu erfahren, was diese Sicherheitsrisiken für Krankenhäuser im Alltag bedeuten und wie Sicherheitsteams im Gesundheitswesen Best Practices implementieren können, um Anbieter und Patienten zu schützen. Holen Sie sich die ganze Geschichte und DOWNLOADen Sie das eBook jetzt – bei uns!

    Einige Teile dieses Artikels stammen aus:
    threatpost.com