CISA cảnh báo nhiều lỗ hổng nghiêm trọng ảnh hưởng đến PLC Mitsubishi Electric

[WhiteHat Team]

Cơ quan an ninh mạng và cơ sở hạ tầng Hoa Kỳ (CISA) vừa cảnh báo về nhiều lỗ hổng trong phần mềm kỹ thuật Mitsubishi Electric GX Works3.

CISA cho biết: “Khai thác thành công các lỗ hổng có thể cho phép người dùng trái phép truy cập vào các mô-đun CPU sê-ri MELSEC iQ-R/F/L và mô-đun máy chủ OPC UA sê-ri MELSEC iQ-R hoặc để xem và thực thi các chương trình”.

​

GX Works3 là một phần mềm máy trạm kỹ thuật được sử dụng trong môi trường ICS (Hệ thống kiểm soát công nghiệp - Industrial Control Systems), hoạt động như một cơ chế để tải lên và tải xuống các chương trình từ/đến bộ điều khiển, khắc phục sự cố phần mềm và phần cứng cũng như thực hiện các hoạt động bảo trì.

Điều này khiến phần mềm trở thành mục tiêu hấp dẫn đối với hacker khi chúng tìm cách xâm nhập các hệ thống để giành quyền quản lý PLC.

Các lỗ hổng bao gồm 3 lỗi lưu trữ dữ liệu nhạy cảm ở dạng cleartext, 4 lỗi sử dụng khóa mật mã được mã hóa cứng, 2 lỗi sử dụng mật khẩu được mã hóa cứng và 1 lỗi liên quan đến trường hợp thông tin xác thực được bảo vệ không đầy đủ.

Nghiêm trọng nhất là CVE-2022-25164 và CVE-2022-29830, đều có điểm CVSS là 9,1, có thể bị lạm dụng để giành quyền truy cập vào mô-đun CPU và lấy thông tin các tệp dự án mà không yêu cầu sự cho phép.

Công ty Nozomi Networks đã phát hiện thêm lỗ hổng CVE-2022-29831, điểm CVSS 7,5. Kẻ tấn công có quyền truy cập vào tệp dự án PLC có thể khai thác mật khẩu được mã hóa cứng để truy cập trực tiếp vào mô-đun CPU, làm gián đoạn các quy trình công nghiệp.

Nozomi Networks cho biết thêm: "Phần mềm kỹ thuật đại diện cho một thành phần quan trọng trong chuỗi an ninh của bộ điều khiển công nghiệp. Nếu có bất kỳ lỗ hổng nào, kẻ tấn công có thể lạm dụng để xâm nhập các thiết bị được quản lý và giám sát quy trình công nghiệp".

Công bố được đưa ra khi CISA thông báo chi tiết về lỗ hổng từ chối dịch vụ CVE-2022-40265, điểm CVSS 8,6 trong dòng sản phẩm Mitsubishi Electric MELSEC iQ-R. Lỗ hổng bắt nguồn từ việc thiếu xác thực đầu vào. Nếu khai thác thành công, kẻ tấn công từ xa, không cần xác thực có thể gây ra tình trạng từ chối dịch vụ trên sản phẩm mục tiêu bằng cách gửi các gói được tạo đặc biệt.

CISA lưu ý thêm 3 vấn đề khác ảnh hưởng đến Remote Compact Controller (RCC) 972 từ Horner Automation, trong đó nghiêm trọng nhất là CVE-2022-2641, điểm CVSS 9,8, có thể dẫn đến thực thi mã từ xa hoặc gây ra tình trạng từ chối dịch vụ.

Theo Thehackernews​