Компания Schneider Electric в начале апреля выпустила несколько обновлений и патчей, закрывающих уязвимости в программном обеспечении, которое используется для построения систем SCADA и HMI на атомных электростанциях, химических заводах и других критически важных объектах.
Под угрозой оказались InTouch Machine Edition 2014 версии 7.1.3.2 и InduSoft Web Studio 7.1.3.2, а также предыдущие версии этих продуктов. Среди исправленных ошибок: возможность исполнения произвольного кода, хранение и передача конфиденциальных данных в незашифрованном виде. Воспользоваться этими уязвимостями для совершения атаки может даже начинающий хакер. Производитель рекомендует пользователям как можно скорее установить выпущенные патчи.
Уязвимости обнаружили исследователи Positive Technologies Илья Карпов и Кирилл Нестеров в ходе работ по оценке уровня защищенности промышленных систем. Кроме того, большое количество ошибок в этих же программных продуктах нашли участники конкурса Critical Infrastructure Attack, который проходил на международной конференции по безопасности Positive Hack Days IV. За найденные уязвимости компания Schneider Electric поблагодарила победительницу конкурса Алису Шевченко (Esage Lab). Правда, некоторые уязвимости компания не упомянула в бюллетене и не создала для них CVE-записей. К сожалению, такая практика становится все более распространенной: производители исправляют ошибки безопасности, но не всегда признают их наличие.Напомним, что первый раз конкурс по анализу защищенности промышленных систем управления (АСУ ТП) прошел на Positive Hack Days в 2013 году под названием Choo Choo Pwn. Тогда в лаборатории компании Positive Technologies была создана игровая модель железной дороги, все элементы которой — поезда, шлагбаумы, краны — контролируются с помощью АСУ ТП, собранной на основе трех SCADA-систем и трех промышленных контроллеров.
В 2014 году конкурсная инфраструктура была кардинально изменена, что открыло возможности для обнаружения уязвимостей нулевого дня в более широком спектре промышленных протоколов и систем управления. Помимо транспортной инфраструктуры, участники конкурса могли взять под контроль систему городского освещения, ТЭЦ и различных роботов.
При этом все конкурсные SCADA-системы и контроллеры используются на критически важных объектах в самых разных отраслях, и реальная эксплуатация уязвимостей может привести к губительным последствиям для жителей современного города. Следуя принципам ответственного разглашения, участники конкурса Critical Infrastructure Attack должны сначала сообщить о найденных уязвимостях производителям, и только после устранения проблем будет опубликована подробная информация о них.
