Siemens закрыла 10-балльную уязвимость в цифровой подстанции

Критический баг в SCADA-приложении Spectrum Power допускал удаленное выполнение команд в целевой системе.

Разработчики Siemens залатали десятибалльную брешь в ADMS-платформе Spectrum Power, предназначенной для управления энергетическими сетями, а также сбора и анализа параметрических данных. Уязвимость позволяла нападающему выполнить вредоносную команду на уровне ОС целевого устройства. Баг, обнаруженный специалистами голландской компании Applied Risk, зарегистрирован в базе MITRE под номером CVE-2019-6579.

Как выяснили исследователи, неавторизованный киберпреступник с сетевым доступом мог удаленно передать через TCP-порты 80 или 443 стороннюю команду на целевую систему. Эксплуатация бреши не требует взаимодействия с пользователем и может привести к компрометации устройства или же перекрыть к нему доступ.

Уязвимость затронула платформу Spectrum Power 4.7 c активированным расширением Web Office Portal (WOP). Специалисты называют такие приложения цифровыми подстанциями и отмечают, что они могут применяться в критически важных отраслях промышленности и коммунальных службах.

Разработчики системы закрыли уязвимость патчем bugfix bf-47456_PE_WOP_fix, который доступен пользователям Spectrum Power при обращении в Siemens Energy Customer Support Center. В случае невозможности установить апдейт производитель рекомендует отключить веб-сервер или ограничить доступ к нему через политики безопасности внешнего брандмауэра.

В феврале этого года Siemens пришлось патчить другой продукт энергетической линейки. В программе WibuKey, отвечающей за контроль доступа к контенту платформы Siemens SICAM 230, обнаружились три бага, два из которых получили критический уровень опасности. Десятибалльная уязвимость CVE?2018?3991 допускала перехват управления системой через переполнение динамической памяти, а CVE-2018-3990, оцененная в 9,3 балла, приводила к эскалации привилегий и порче ядра данных.

Ваш голос учтён!

нравится

не нравится

Рейтинг:

0

Всего голосов: 0

Новые материалы в Разное:

RuStore открыл доступ иностранным разработчикам   // 08 февраля

CISA опубликовало декриптор в помощь жертвам шифровальщика ESXiArgs   // 08 февраля

Google обещает блюрить непристойные и жестокие картинки поиска   // 08 февраля

Бизнес предлагает продавать алкоголь по 2FA   // 08 февраля