Napędy Rockwell Automation podatne na cyberataki

fot. pixabay

Badacze z USA odkryli lukę w oprogramowaniu niektórych napędów zmiennej prędkości od Rockwell Automation. Można wykorzystać je do manipulowania pracą urządzenia lub do jego zdalnego zatrzymania.

Błąd „denial of service" w napędach PowerFlex 525 z wbudowanym interfejsem Ethernet/IP może pozwolić cyberprzestępcy na dostęp za pomocą protokołu przemysłowego CIP. Wada została odkryta w lipcu ubiegłego roku przez inżynierów Applied Risk. Poinformowali o tym niezwłocznie firmę Rockwell, która do tego czasu opracowała poprawkę oprogramowania rozwiązującą problem.

Applied Research opublikował raport na temat swoich ustaleń, a Departament Bezpieczeństwa Wewnętrznego USA wydał zawiadomienie doradcze za pośrednictwem Narodowego Centrum Integracji Cyberbezpieczeństwa i Komunikacji (NCCIC). Nie odnotowano dotychczas incydentów, które wykorzystałyby tę słabość systemu.

Wada pozwala nieuwierzytelnionemu użytkownikowi wysłać sekwencję pakietów w taki sposób, aby zawiesić stos sieciowy CIP. Powoduje to błąd w oprogramowaniu sterującym i konfiguracyjnym, które rozłącza się w momencie, gdy pula połączeń zostaje wyczerpana. Wówczas nie jest możliwe zainicjowanie nowego połączenia z urządzeniem, co uniemożliwia autoryzowanym użytkownikom odzyskanie kontroli nad napędem. Jedynym sposobem na zerwanie połączenia z hakerem jest zresetowanie zasilania.

Aktualizację oprogramowania sprzętowego można pobrać ze strony internetowej Rockwell. Firma wydała również poradnik bezpieczeństwa dotyczący luki w zabezpieczeniach dla zarejestrowanych klientów.

Chociaż jest to jeden z pierwszych problemów tego typu, jakie można wykryć w napędach VSD, analitycy bezpieczeństwa regularnie zgłaszają potencjalne słabości w urządzeniach przemysłowych. Tylko w tym roku serwis amerykańskiego rządu ICS-CERT wydał ponad 50 porad dotyczących bezpieczeństwa cybernetycznego sprzętu i oprogramowania przemysłowego, w tym produktów dostarczanych przez ABB, Advantech, Aveva, Delta, Emerson, Horner, Johnson Controls, Mitsubishi, Moxa, Omron, OSIsoft, Pepperl+Fuchs, Phoenix Contact, Pilz, Schneider, Siemens czy Yokogawa.

(rr)