Microsoft rivela difetti di Codesys che consentono l'arresto di operazioni industriali e lo spionaggio

Oltre una dozzina di vulnerabilità Codesys scoperte dai ricercatori Microsoft possono essere sfruttate per arrestare processi industriali o implementare backdoor.

Flipboard

E-mail

Oltre una dozzina di vulnerabilità scoperte dai ricercatori Microsoft nei prodotti Codesys possono essere sfruttate per causare interruzioni ai processi industriali o implementare backdoor che consentono il furto di informazioni sensibili.

Codesys, con sede in Germania, produce software di automazione per sistemi di controllo ingegneristico. I suoi prodotti sono utilizzati da alcuni dei più grandi produttori di sistemi di controllo industriale (ICS) del mondo, il fornitore afferma che il suo software si trova in milioni di dispositivi: circa 1.000 tipi diversi di prodotti realizzati da oltre 500 produttori.

I ricercatori Microsoft specializzati nella sicurezza dei sistemi ciberfisici hanno scoperto un totale di 16 vulnerabilità nelle versioni Codesys Control V3 precedenti alla 3.5.19.0. Le falle di sicurezza sono state segnalate a Codesys nel settembre 2022 e le patch sono state annunciate nell'aprile 2023.

A tutte le vulnerabilità è stato assegnato un punteggio di "gravità elevata". Possono essere sfruttati per attacchi Denial of Service (DoS) o per l'esecuzione di codice in modalità remota (RCE).

Gli autori delle minacce potrebbero sfruttarli per prendere di mira i controllori logici programmabili (PLC) e altri dispositivi ICS che utilizzano il software Codesys. La ricerca di Microsoft si è concentrata sui PLC realizzati da Schneider Electric e Wago.

Sebbene lo sfruttamento delle vulnerabilità richieda l’autenticazione, i ricercatori hanno mostrato come gli hacker potrebbero sfruttare i vecchi difetti di Codesys, come CVE-2019-9013, per raggiungere questo obiettivo.

"Mentre lo sfruttamento delle vulnerabilità scoperte richiede una profonda conoscenza del protocollo proprietario di Codesys V3 nonché dell'autenticazione dell'utente (e sono necessarie autorizzazioni aggiuntive affinché un account abbia il controllo del PLC), un attacco riuscito ha il potenziale per infliggere ingenti danni agli obiettivi ", ha spiegato Microsoft.

Ha aggiunto: "Gli autori delle minacce potrebbero lanciare un attacco DoS contro un dispositivo utilizzando una versione vulnerabile di Codesys per arrestare le operazioni industriali o sfruttare le vulnerabilità RCE per implementare una backdoor per rubare dati sensibili, manomettere le operazioni o forzare un PLC a operare in un modo pericoloso”.

Microsoft ha pubblicato un lungo post sul blog descrivendo le vulnerabilità e come possono essere sfruttate. Il gigante della tecnologia ha anche reso disponibile uno strumento open source progettato per aiutare gli utenti a identificare i dispositivi interessati.

Codesys ha anche un avviso che descrive i difetti (link per il download diretto).

Le vulnerabilità di Codesys sono state riassunte in una sessione alla conferenza sulla sicurezza informatica Black Hat questa settimana dal ricercatore Microsoft Vladimir Tokarev.

Imparentato: Codesys corregge 11 difetti che potrebbero interessare i controller di diversi fornitori ICS

Imparentato: Gravi vulnerabilità riscontrate nel software CODESYS utilizzato da molti prodotti ICS

Imparentato: OT: Icefall continua a presentare vulnerabilità nei prodotti Festo e Codesys

Eduard Kovacs (@EduardKovacs) è caporedattore di SecurityWeek. Ha lavorato come insegnante di informatica al liceo per due anni prima di iniziare una carriera nel giornalismo come reporter di notizie sulla sicurezza di Softpedia. Eduard ha conseguito una laurea in informatica industriale e un master in tecniche informatiche applicate all'ingegneria elettrica.

Iscriviti al briefing via e-mail di SecurityWeek per rimanere informato sulle ultime minacce, tendenze e tecnologie, insieme a colonne approfondite di esperti del settore.

Unisciti agli esperti di sicurezza mentre discutono del potenziale non sfruttato di ZTNA sia per ridurre il rischio informatico che per potenziare l'azienda.

Unisciti a Microsoft e Finite State per un webinar che introdurrà una nuova strategia per proteggere la catena di fornitura del software.

Sebbene gli attacchi basati sui quanti siano ancora in futuro, le organizzazioni devono pensare a come difendere i dati in transito quando la crittografia non funziona più. (Marie Hattar)