Milhões de PLCs (controladores lógicos programáveis) utilizados em ambientes industriais em todo o mundo estão em risco devido a 15 vulnerabilidades no kit de desenvolvimento de software CODESYS V3, permitindo execução de código remoto (RCE) e ataques de negação de serviço (DoS).
Mais de 500 fabricantes de dispositivos utilizam o SDK CODESYS V3 para programar em mais de 1.000 modelos de PLC de acordo com o padrão IEC 61131-3, permitindo aos usuários desenvolver sequências de automação personalizadas.
O SDK também fornece uma interface de gerenciamento do Windows e um simulador que permite aos usuários testar a configuração e programação do PLC antes de implantá-la em produção.
As quinze falhas no SDK CODESYS V3 foram descobertas por pesquisadores da Microsoft, que as relataram ao CODESYS em setembro de 2022.
O fornecedor lançou atualizações de segurança para resolver os problemas identificados em abril de 2023.
Devido à natureza desses dispositivos, eles não são frequentemente atualizados para corrigir problemas de segurança, por isso a equipe de segurança da Microsoft publicou ontem um post detalhado para aumentar a conscientização sobre os riscos e ajudar a acelerar a correção.
A Microsoft examinou dois PLCs da Schnieder Electric e WAGO que utilizam o CODESYS V3 e descobriu 15 vulnerabilidades de alta gravidade (CVSS v3: 7.5 – 8.8).
As falhas são:
CVE-2022-47378
,
CVE-2022-47379
,
CVE-2022-47380
,
CVE-2022-47381
,
CVE-2022-47382
,
CVE-2022-47383
,
CVE-2022-47384
,
CVE-2022-47385
,
CVE-2022-47386
,
CVE-2022-47387
, CVE 2022-47388,
CVE-2022-47389
,
CVE-2022-47390
,
CVE-2022-47392
,
CVE-2022-47393
.
O principal problema está no mecanismo de decodificação de tags do SDK, especificamente o fato de que as tags são copiadas para o buffer do dispositivo sem verificar seu tamanho, oferecendo aos atacantes uma oportunidade de estouro de buffer.
Essas tags são transportadoras de dados ou estruturas de dados que fornecem instruções cruciais para a função do PLC.
O problema de overflow do buffer não está isolado, pois a Microsoft encontrou em 15 componentes do SDK CODESYS V3, incluindo CMPTraceMgr, CMPapp, CMPDevice, CMPApp, CMPAppBP, CMPAppForce e CMPFileTransfer.
Embora as falhas exijam autenticação para exploração, a Microsoft diz que este requisito pode ser contornado usando o
CVE-2019-9013
, outra falha que afeta o CODESYS V3 e expõe as credenciais do usuário durante o transporte em forma de texto claro.
Em 12 dos 15 casos, os analistas da Microsoft foram capazes de explorar a falha para obter execução remota de código no PLC.
O aviso de segurança da CODESYS lista os seguintes produtos como afetados se rodarem versões anteriores à 3.5.19.0, independentemente da configuração do hardware e do sistema operacional:
Recomenda-se aos administradores que atualizem para a CODESYS V3 v3.5.19.0 o mais rápido possível, enquanto a Microsoft também recomenda desconectar PLCs e outros dispositivos industriais críticos da internet.
Publicidade
O curso Python Básico da Solyd oferece uma rápida aproximação à linguagem Python com diversos projetos práticos. Indo do zero absoluto até a construção de suas primeiras ferramentas. Tenha também suporte e certificado gratuitos. Saiba mais...