07.10.2021 | В контроллерах Honeywell Experion PKS и ACE обнаружены критические уязвимости |
Агентство по кибербезопасности и безопасности инфраструктуры США (CISA) выпустило бюллетень относительно множественных уязвимостей, затрагивающих все версии контроллеров Honeywell Experion Process Knowledge System C200, C200E, C300 и ACE. Эксплуатация проблем позволяет удаленно выполнить код и вызвать состояние отказа в обслуживании (DoS). Experion Process Knowledge System (PKS) — распределенная система управления (DCS), предназначенная для управления крупными производственными процессами, охватывающими множество секторов, от нефтехимических заводов до атомных электростанций, где важны высокая надежность и безопасность. Как сообщили специалисты Honeywell, библиотека Control Component Library (CCL) может быть изменена злоумышленником и загружена в контроллер для выполнения вредоносного кода Уязвимости обнаружили специалисты Рей Хенигман (Rei Henigman) и Надав Эрез (Nadav Erez) из компании Claroty:
Проблемы связаны с процедурой загрузки кода, которая необходима для программирования логики в контроллере, что позволяет злоумышленнику имитировать процесс и загружать произвольные двоичные файлы CLL. «Затем устройство загружает исполняемые файлы без выполнения проверок или очистки, давая злоумышленнику возможность загружать исполняемые файлы и запускать неавторизованный собственный код удаленно без аутентификации», — пояснили эксперты. Успешное использование проблем может позволить злоумышленнику получить доступ к неавторизованным файлам и каталогам, удаленно выполнить произвольный код и вызвать состояние отказа в обслуживании. Пользователям настоятельно рекомендуется применить исправления, устраняющие данные уязвимости. |
Проверить безопасность сайта