Уязвимости АСУ ТП и Интернета Вещей

Дата актуализации подборки: 16 августа 2016 года

Подборка материалов (на русском языке) из СМИ с информацией об уязвимостях программного и аппаратного обеспечения в области кибербезопасности АСУ ТП (ICS, SCADA) и интернета вещей (IoT).

Все свежие материалы публикуются в блоге Кибербезопасность+ с тегом [уязвимость].

2016 год

Август 2016 г.
- [уязвимость] В ПЛК Rockwell Automation обнаружен недокументированный SNMP пароль
  Уязвимость позволяет злоумышленнику получить полный контроль над устройством.
- [уязвимость] Обнаружен способ беспроводного взлома автомобилей Volkswagen
  Уязвимость затрагивает практически все автомобили Volkswagen, выпускаемые с 1995 года.
- [уязвимость] Более 50% подключенных автомобилей находятся под угрозой кибератак
  Свыше 70% уязвимостей могут эксплуатироваться для получения доступа к CAN-BUS, отключения электронных блоков управления и пр.
- [уязвимость] Представлен новый червь для автоматических систем управления
  PLC-Blaster способен автоматически обнаруживать и инфицировать ПЛК.
- [уязвимость] ИБ-эксперты обнаружили уязвимость в автопилоте автомобилей Tesla Model S
  Сенсоры автопилота не всегда адекватно воспринимают находящиеся рядом с авто объекты.
- [уязвимость] Системы управления производственными процессами подвержены более 1 тыс. уязвимостей
  Многие из уязвимостей до сих пор остаются неисправленными.
- [уязвимость] Эксперты в очередной раз взломали Jeep Cherokee
  Хакеры могут получить контроль над замками, рулевым управлением и тормозами.
Июль 2016 г.
- [уязвимость] Siemens устранила уязвимости в продуктах Siemens Simatic и SINEMA
  Уязвимости позволяли выполнить произвольный код на системе или осуществить DoS-атаку.
- [уязвимость] Умные лампочки — угроза для бизнеса
  Множество уязвимостей в веб-интерфейсе продукции Osram Lightify остаются открытыми, несмотря на то, что вендор был в частном порядке уведомлен о них еще в мае, а в июне CERT/CC присвоил этим уязвимостям соответствующие CVE-идентификаторы.
- [уязвимость] Исследователи продемонстрировали взлом автомобиля BMW через web-сайт производителя
  Уязвимости в web-сервисах производителя BMW могут позволить атакующему изменить настройки автомобиля.
- [уязвимость] В системе управления электроподстанциями Siemens нашли уязвимости
  Исследователи из компании Positive Technologies обнаружили две уязвимости в Siemens SICAM PAS (Power Automation System) — программном обеспечении, которое применяют для управления электроподстанциями. Уровень опасности несколько снижен тем фактом, что уязвимостями нельзя воспользоваться удалённо.
- [уязвимость] Устранены опасные уязвимости в АСУ ТП Siemens SICAM PAS
  Обнаруженные уязвимости позволяют локальному пользователю повысить свои привилегии и получить доступ к важным данным.
- [уязвимость] Эксперт PT помог защитить цифровые подстанции ABB от взлома
  Эксперт по защите промышленных систем управления компании Positive Technologies Илья Карпов обнаружил уязвимости, связанные с ненадежным хранением паролей, в конфигураторе ABB PCM600 и сообщил о них производителю. Швейцарская компания ABB, выпускающая ПО для систем управления в энергетическом секторе, признала наличие уязвимостей и выпустила соответствующие обновления и рекомендации для пользователей.
- [уязвимость] Исправлены две опасные уязвимости в АСУ-ТП Advantech WebAccess
  Компания выпустила исправление безопасности, устраняющее уязвимости выполнения произвольного кода.
- [уязвимость] ЛК помогла закрыть серьезную уязвимость в оборудовании для энергосистем
  «Лаборатория Касперского» обнаружила уязвимость в терминале релейной защиты Siemens SIPROTEC 4 — устройстве, широко используемом во всех областях энергетики для защиты сети от коротких замыканий и критических нагрузок. Соответствующая информация была передана производителю, и в настоящее время брешь уже устранена.
Июнь 2016 г.
- [уязвимость] Siemens устранила уязвимости в АСУ ТП SIMATIC
  Обнаруженные уязвимости позволяют удаленному пользователю получить доступ к учетным данным и вызвать отказ в обслуживании.
- [уязвимость] В оборудовании Siklu EtherHaul выявлен общедоступный root-бэкдор
  В радиорелейных станциях Siklu EtherHaul, применяемых у операторов связи в качестве каналообразующего радиооборудования и для соединения «последней мили», выявлен бэкдор, проявляющийся в наличии в прошивке, основанной на Linux, предопределённого аккаунта для получения доступа с правами root
- [уязвимость] Исследователи взломали электровнедорожник Mitsubishi Outlander
  Уязвимость в модуле Wi-Fi автомобиля позволяет удаленно получить контроль над его системами.
- [уязвимость] В оборудовании компаний Moxa и ABB обнаружены опасные уязвимости
  Проблема в компьютерах серии Moxa UC 7408-LX-Plus позволяет удаленному авторизованному пользователю перепрошить устройство.
Май 2016 г.
- [уязвимость] Создан первый в мире червь для программируемых контроллеров, распространяющийся без ПК
  Эксперты представили червя, способного распространяться по ПЛК производства Siemens без поддержки ПК или других систем.
- [уязвимость] Новые уязвимости терминалов Siemens: пора обновлять базовое ПО модулей EN100
  Компания Siemens выпустила обновление встроенного программного обеспечения для Ethernet модуля EN100, которым оснащаются устройства SIPROTEC 4 и SIPROTEC Compact. Обновление позволяет закрыть уязвимости, обнаруженные российскими исследователями.
- [уязвимость] В маршрутизаторах Moxa устранен ряд уязвимостей
  Ошибки позволяют удаленно осуществить DoS-атаку, повысить свои привилегии и выполнить произвольный код.
- [уязвимость] Использующийся в умных сетях электроснабжения потоковый шифр RC4 снова взломан
  Эксперты успешно осуществили атаку на протокол OSGP, эксплуатируя известные уязвимости в RC4.
- [уязвимость] В SCADA-системах обнаружены неподлежащие исправлению уязвимости
  Исправить проблему невозможно, поскольку на устройствах некуда устанавливать патчи.
Апрель 2016 г.
- [уязвимость] В московских датчиках дорожного движения обнаружена уязвимость
  «Лаборатория Касперского» выяснила, что злоумышленники могут легко получить доступ к датчикам дорожного движения в Москве и серьезно исказить собираемые ими данные. В результате может быть нанесен многомиллионный ущерб городу, например, если власти на основе модифицированной информации будут принимать ошибочные решения о развитии дорожной инфраструктуры.
- [уязвимость] Эксперты обнаружили почти 1,5 тыс. уязвимостей в медицинском оборудовании
  Из общего количества ошибок 715 уязвимостей имеют уровень опасности, превышающий 7 баллов по шкале CVSS.
- [уязвимость] Популярные преобразователи Serial-to-Ethernet уязвимы к атакам
  Производитель не спешит выпускать обновления.
- [уязвимость] Китайскому хакеру удалось взломать «умный» автомобиль даже без подключения к интернету
  Daishen смог получить доступ к навигационной и стереосистеме путем эксплуатации уязвимостей.
Март 2016 г.
- [уязвимость] Сотрудники Bitdefender протестировали устройства IoT и нашли множество уязвимостей
  Румынская компания Bitdefender, специализирующаяся на компьютерной безопасности, протестировала несколько недорогих устройств для управления «умным домом» при помощи смартфона. В каждом из них были найдены опасные уязвимости.
- [уязвимость] ЛК нашла серьезные уязвимости в медицинском оборудовании
  «Лаборатория Касперского» провела исследование, которое наглядно продемонстрировало слабые стороны защиты IT-инфраструктуры современных медицинских учреждений по всему миру. Причиной для такого анализа стал стремительный рост количества кибератак на больницы и взломов медицинского оборудования.
- [уязвимость] Злоумышленники научились угонять автомобили при помощи усилителя радиосигнала
  Уязвимость обнаружена в 24 моделях авто от 19 производителей.
- [уязвимость] Страшно и смешно: взлом «взрослых» гаджетов — реальность
  На прошедшей в Ганновере выставке CeBIT снова поднималась тема кибербезопасности и «страшного нового мира», в котором все устройства подключаются к Интернету и, соответственно, могут быть взломаны.
- [уязвимость] Серверы Moxa NPort 5100 уязвимы к кибератакам
  Устройства не требуют установки пароля и не шифруют передаваемый данные.
- [уязвимость] Использующиеся в отелях устройства «Интернета вещей» позволяют получить контроль над приборами во всех комнатах
  С помощью планшета, игравшего роль выключателя света, ИБ-эксперт смог контролировать приборы во всем отеле.
- [уязвимость] Исследователь обнаружил способ осуществления атаки на автобусы
  Транспортные средства, оснащенные телематическими системами, могут быть уязвимы к кибератакам.
- [уязвимость] Террористы могут воспользоваться услугами хакеров для похищения нефти
  Существенная зависимость предприятий от ПО делает их привлекательной целью для кибератак.
- [уязвимость] В Schneider Electric Struxureware исправлена опасная уязвимость
  Ошибка позволяла удаленно выполнить произвольные команды.
- [уязвимость] В 2015 году из-за уязвимостей были отключены более 80 тыс. компонентов Smart Grid
  Количество Smart Grid-девайсов, подключенных к интернету без какой-либо защиты, растет лавинообразно.
Февраль 2016 г.
- [уязвимость] Самый популярный в мире электромобиль так легко взломать
  Трой Хант (Troy Hunt) занимается вопросами безопасности, он выяснил, что самый популярный электромобиль Nissan Leaf очень легко взломать. Он получил удаленный доступ к машине другого специалиста, находясь в Австралии, тогда как второй проживает в Великобритании.
- [уязвимость] Беспроводные мыши подвержены серьезной уязвимости
  Исследователи из компании Bastille Networks разработали новый вид атаки, позволяющей на расстоянии до ста метров получить контроль над беспроводными мышами, работающими на частоте 2.4GHz, и симулировать ввод любых клавиатурных комбинаций.
- [уязвимость] Исследователь продемонстрировал удаленный взлом сигнализации SimpliSafe
  В январе 2016 года мы рассказывали об умном видеодомофоне, который можно взломать при помощь обычной отвертки. Исследователь компании IOActiv Эндрю Зоненберг (Andrew Zonenberg) выяснил, что некоторые охранные системы, призванные защитить людей и их имущество, ушли совсем недалеко от того домофона. Эксперт сумел взломать сигнализацию SimpliSafe с расстояния 30 метров, полностью отключил систему безопасности и теперь сообщает, что исправить уязвимость и сделать SimpliSafe безопасной, невозможно.
- [уязвимость] В прошивках нескольких видеорегистраторов обнаружены неизменяемые пароли
  Злоумышленники могут получить полный доступ к устройствам.
- [уязвимость] Samsung предупредила о прослушке в своих «умных» телевизорах
  Smart TV могут следить за владельцами слушая и анализируя речь, и иногда передавать данные Samsung или третьей стороне.
Январь 2016 г.
- [уязвимость] В исправленной прошивке Advantech EKI обнаружен потенциальный бэкдор
  Уязвимость в прошивке позволяет обойти аутентификацию, используя открытые ключ и пароль.
- [уязвимость] Ключ от всех дверей: IoT-устройства по-прежнему уязвимы
  ИБ-исследователи снова доказали, что производителям набирающих популярность IoT-продуктов для умного дома есть над чем поработать, а именно над безопасностью. Очередная уязвимость была найдена в системе подключаемого к Интернету видеодомофона. Хотя брешь уже закрыта, новый инцидент вновь показал, каким незащищенным остается Интернет вещей, занимающий умы разработчиков компонентов и устройств.
- [уязвимость] Терминалы Siemens SIPROTEC подвержены уязвимости отказа в обслуживании
  Устройство возможно вывести из строя путем отправки специально сформированных пакетов на UDP-порт 50000.