Microsoft wykrył luki w Codesys

fot. pixabay

Analitycy cyberbezpieczeństwa w firmie Microsoft odkryli kilka poważnych luk w pakiecie programistycznym przeznaczonym dla platformy Codesys, który jest używany w około 1000 urządzeniach automatyki, w tym w sterownikach PLC od ponad 500 producentów.

Microsoft ostrzega, że wykorzystanie luk, które dotyczą wszystkich wersji Codesys V3 poprzedzających wydanie 3.5.19.0, może narazić infrastrukturę OT na ataki DoS i zdalne wykonanie kodu (RCE). Atak DoS na urządzenie wykorzystujące podatną wersję Codesys może pozwolić atakującym nawet na zamknięcie fabryk, podczas gdy zdalne wykonanie kodu może stworzyć backdoora, który pozwoli atakującym na manipulowanie operacjami, powodując, że PLC będą działały w nietypowy sposób lub wykradną krytyczne informacje.

Badacze z firmy Microsoft zgłosili odkrycie 15 luk niemieckiej organizacji Codesys we wrześniu 2022 roku. Microsoft stanowczo zachęca użytkowników Codesys do jak najszybszego zastosowania aktualizacji. Zaznacza jednak, że wykorzystanie luk wymagałoby uwierzytelnienia użytkownika, a także głębokiej znajomości protokołu Codesys V3 i struktury usług, z których korzysta ten protokół.

Codesys jest niezależną od dostawcy i platformy firmą, która pomaga producentom urządzeń automatyki we wdrażaniu standardu programowania IEC 61131-3. Może być używany do tworzenia kontrolerów zarówno sprzętowych, jak i programowych. W swoich badaniach analitycy firmy Microsoft zbadali strukturę i bezpieczeństwo protokołu Codesys, skupiając się w szczególności na sterownikach PLC Modicon TM251 firmy Schneider Electric i PFC200 firmy Wago.

Inni dostawcy automatyki korzystający z Codesys to: ABB, Advantech, Bosch Rexroth, Delta Electronics, Eaton, Festo, Hitachi, ifm, Inovance, KEB, Lenze, NUM, Opto 22, Parker Hannifin, WEG i Weidmuller. Szacuje się, że na całym świecie jest ponad 200 000 użytkowników końcowych Codesys, którzy obsługują kilka milionów urządzeń.

Firma Codesys wydała zalecenia dotyczące wdrażania poprawek.

(rr)