Leia também
Várias vulnerabilidades de segurança não corrigidas foram divulgadas nos controladores lógicos programáveis de segurança (PLCs) Mitsubishi que podem ser explorados por um adversário para adquirir nomes de usuário legítimos registrados no módulo por meio de um ataque de força bruta, login não autorizado no módulo da CPU e até mesmo causar um condição de negação de serviço (DoS).
Os pontos fracos de segurança, divulgados pela Nozomi Networks, dizem respeito à implementação de um mecanismo de autenticação no protocolo de comunicação MELSEC que é usado para trocar dados com os dispositivos de destino que é usado para comunicação com dispositivos de destino, lendo e gravando dados no módulo de CPU.
Um rápido resumo das falhas está listado abaixo -
Username Brute-force (CVE-2021-20594, CVSS score: 5.9) - Usernames used during authentication are effectively brute-forceable- Anti-password Brute-force Functionality Leads to Overly Restrictive Account Lockout Mechanism (CVE-2021-20598, CVSS score: 3.7) - The implementation to thwart brute-force attacks not only blocks a potential attacker from using a single IP address, but it also prohibits any user from any IP address from logging in for a certain timeframe, effectively locking legitimate users out
- Leaks of Password Equivalent Secrets (CVE-2021-20597, CVSS score: 7.4) - A secret derived from the cleartext password can be abused to authenticate with the PLC successfully
- Session Token Management - Cleartext transmission of session tokens, which are not bound to an IP address, thus enabling an adversary to reuse the same token from a different IP after it has been generated
De forma preocupante, algumas dessas falhas podem ser agrupadas como parte de uma cadeia de exploração, permitindo que um invasor se autentique com o PLC e adultere a lógica de segurança, bloqueie os usuários fora do PLC e, pior, altere as senhas dos usuários registrados, necessitando de um desligamento físico do controlador para evitar qualquer risco adicional.
Os pesquisadores se abstiveram de compartilhar especificações técnicas das vulnerabilidades ou do código de prova de conceito (PoC) que foi desenvolvido para demonstrar os ataques devido à possibilidade de que isso pudesse levar a abusos adicionais. Embora a Mitsubishi Electric deva lançar uma versão fixa do firmware em um "futuro próximo,
“publicou uma série de mitigações que visam proteger os ambientes operacionais e evitar um possível ataque.
Nesse ínterim, a empresa está recomendando uma combinação de medidas de mitigação para minimizar o risco de exploração potencial, incluindo o uso de um firewall para evitar o acesso não autorizado pela internet,
um filtro de IP para restringir endereços IP acessíveis e alterar as senhas via USB.
"É provável que os tipos de problemas que descobrimos afetem a autenticação de protocolos OT de mais de um único fornecedor, e queremos ajudar a proteger o maior número possível de sistemas", observaram os pesquisadores.
"Nossa preocupação geral é que os proprietários de ativos possam depender excessivamente da segurança dos esquemas de autenticação fixados nos protocolos OT, sem conhecer os detalhes técnicos e os modelos de falha dessas implementações."
