Киберугрозы АСУ ТП при запуске ЧМИ в браузере

Компания Nozomi Networks Labs проанализировала киберугрозы при запуске приложений человеко-машинного интерфейса (ЧМИ) в браузерах. О киберугрозах говорится в исследовании «Codename I11USION: Eleven Practical Ways to Pwn Browser-Based HMIs». В нем рассматриваются системы ЧМИ, которые используются в различных АСУТП - от энергетики до промышленности. В исследовании проанализированы киберугрозы, которые могут быть следствием уязвимостей, присутствующих в системах ЧМИ.

Исследованные системы включают в себя: Siemens PXM30.E, SEL-3350 с пакетом RTAC, AiLux RTU с ЧМИ и удаленным управлением вводом/выводом данных, Phoenix Contact WP 6121-WXPS, Bosch Rexroth CtrlX WR21.

Исследование безопасности запуска ЧМИ приложений в браузерах привело к выявлению 11 различных типов уязвимостей.

1. Неправильный список разрешений на начальных страницах и/или URL-адресах, доступных для просмотра.
   На сегодняшний день эта уязвимость, при запуске ЧМИ в браузере, является наиболее распространенной. Она связана с недосмотром в настройках безопасности при запуске ЧМИ в браузере, где браузер настроен на ограничение взаимодействия пользователя с адресной строкой, для ограничения прямого доступа к несанкционированному веб-контенту. Однако это ограничение не распространяется на предотвращение взаимодействия с альтернативными URL-адресами или единым идентификатором ресурса (URI) , что потенциально может способствовать атаке типа "отказ в обслуживании" (DoS).
2. Неправильно настроенная функция загрузки файлов.
   Эта уязвимость возникает из -за ошибки в настройках браузера, которому разрешено неограниченно загружать файлы любого типа из веб-сервиса и который принимает специфические пути загрузки от пользователя. Эта уязвимость требует ограничения возможностей загрузки файлов, строгий контроль за доступом к файловой системе и принцип наименьших привилегий.
3. Недостаточные ограничения в открытии файлов.
   Возможность загружать и впоследствии открывать файлы без соответствующих ограничений открывает доступ к целому ряду уязвимостей.
4. Недостаточные ограничения в загрузке файлов.
   Эта уязвимость позволяет обойти ключевые меры безопасности (например, правила межсетевого экрана), создавая возможности для загрузки вредоносного программного обеспечения.
5. Отсутствует проверка сертификата TLS
   Исследование отмечает высокий риск для АСУТП при отсутствии проверки сертификата TLS, в частности, это может привести к операциям удаленного выполнения кода.
6. Выполнение процессов с излишними привилегиями.
   Эта уязвимость не только способствует утечке или несанкционированному изменению системных файлов, но и открывает путь для более широкого спектра потенциальных воздействий.
7. Веб-уязвимости в средствах удаленного управления ЧМИ через веб-приложение.
   Использование уязвимостей может привести к несанкционированному доступу и контролю АСУ ТП через ЧМИ.
8. Межсайтовый скриптинг (XSS).
   Исследование подчеркивает критический характер уязвимостей XSS в контексте браузерных приложений. В исследовании отмечается необходимость применения всесторонней проверки вводимых данных, использование методов безопасного кодирования и регулярное тестирование безопасности для выявления и устранения потенциальных уязвимостей.
9. Межсайтовая подделка запроса (CSRF).
   В исследовании подчеркивается необходимость строгих проверок подлинности и авторизации, использование токенов защиты от CSRF.
10. Излишне высокий уровень доверия оператору.
    В исследовании говорится о том, что поставщики устанавливают разные требования аутентификации для операторов и удаленных пользователей, предоставляя операторам более высокий уровень доверия.  Однако такой подход сопряжен с существенным риском, в случае, если можно манипулировать механизмами, используемыми для разграничения локальных и удаленных запросов.  Необоснованное доверие, особенно в сочетании с такими уязвимостями, как CSRF и внедрение команд, может способствовать обходу аутентификации и приводить к несанкционированному доступу и контролю над системами ЧМИ.
11. Излишнее упрощение доступа оператора к авторизации.

В исследовании отмечается, что взаимодействие между различными функциями при запуске ЧМИ в браузере могут привести к появлению уязвимостей. Функция autologin , предназначенная для упрощения доступа оператора, может использоваться не по назначению в сочетании с другими функциональными возможностями (например, возможности веб-прокси) для облегчения несанкционированного доступа и контроля.

Источник: Nozomi Networks Labs