Codesys na celowniku

fot. pixabay

Rosyjscy eksperci ds. cyberbezpieczeństwa wykryli dziesięć luk w oprogramowaniu do sterowania przemysłowego Codesys 2 używanym jako baza oprogramowania układowego w kontrolerach 15 producentów, w tym firm Beckhoff, Kontron, Festo oraz Mitsubishi.

Codesys wydał aktualizację oprogramowania, która usuwa luki w zabezpieczeniach oraz z powiadomienia doradcze dla trzech komponentów oprogramowania, których dotyczy problem. Podatności zostały zidentyfikowane przez specjalistę ds. cyberbezpieczeństwa, firmę Positive Technologies. Znaleziono je początkowo w sterowniku PLC Wago 750-8207, będącym wycofanym z produkcji. Badacze poinformowali firmę Wago, która z kolei przekazała informacje niebezpieczeństwach do Codesys.

Niektóre z luk zostały ocenione jako wyjątkowo niebezpieczne. Ich wykorzystanie może prowadzić do zdalnej realizacji poleceń na PLC, co może zakłócić procesy technologiczne i spowodować awarie przemysłowe oraz straty ekonomiczne. Aby wykorzystać newralgiczne punkty oprogramowania, osoba atakująca nie potrzebuje nazwy użytkownika ani hasła - wystarczy jej dostęp sieciowy do kontrolera. Zdaniem badaczy główną przyczyną powstania problemów jest niewystarczająca weryfikacja danych wejściowych, co może być związane z nieprzestrzeganiem zaleceń dotyczących bezpiecznego rozwoju oprogramowania.

Potencjalnie najbardziej niebezpieczne problemy zostały wykryte w komponencie serwera Codesys V2.3 Web, który jest wykorzystywany do wyświetlania elementów HMI w przeglądarkach internetowych. Inne z problemów zostały znalezione w komunikacyjnym systemie uruchomieniowym Codesys Control V2, który pozwala na używanie wbudowanych systemów PC jako programowalnych kontrolerów. Ostatnią lukę znaleziono w bibliotece Codesys Control V2 Linux SysFile. Może być ona wykorzystana do wywołania dodatkowych funkcji sterownika PLC przy użyciu biblioteki systemowej SysFile. Atakujący mogą, na przykład usunąć niektóre pliki użytkownika i potencjalnie zakłócić określone procesy produkcyjne.

Aby wyeliminować wpływ luk na bezpieczeństwo, zaleca się, użytkownicy powinni postępować zgodnie z zaleceniami zawartymi w poradnikach Codesys.

(rr)