Vulnerabilità riscontrate nel prodotto SCADA Emerson realizzato per l'industria petrolifera e del gas
26 Maggio 2020 - Tempo di lettura: 7 minuti
Un ricercatore di Kaspersky ha identificato diverse vulnerabilità in Emerson OpenEnterprise, una soluzione di controllo di supervisione e acquisizione dati (SCADA) progettata per l'industria petrolifera e del gas.
Roman Lozko, un ricercatore dell'unità ICS CERT di Kaspersky, ha scoperto quattro vulnerabilità in Emerson OpenEnterprise. I difetti di sicurezza sono stati segnalati al venditore nel dicembre 2019 e alcune patch sono state rilasciate alcuni mesi dopo.
La scorsa settimana la US Cybersecurity and Infrastructure Security Agency ( CISA ) e Kaspersky hanno pubblicato consulenze per tre delle vulnerabilità. La vulnerabilità rimanente è stata descritta da Kaspersky in un precedente avviso.
Secondo Emerson, OpenEnterprise è specificamente progettato per soddisfare i requisiti delle organizzazioni che si concentrano sulla produzione, trasmissione e distribuzione di petrolio e gas.
Le falle di sicurezza rilevate da Lozko sono state descritte come overflow del buffer basato su heap, autenticazione mancante, gestione impropria della proprietà e problemi di crittografia deboli.
I primi due sono i più seri. Tracciati come CVE-2020-6970 e CVE-2020-10640 ed entrambi classificati come critici, possono consentire a un utente malintenzionato di eseguire in remoto codice arbitrario con privilegi elevati sui dispositivi che eseguono OpenEnterprise.
"Le vulnerabilità più critiche consentono agli aggressori remoti di eseguire qualsiasi comando su un computer con OpenEnterprise su di esso con privilegi di sistema, quindi ciò potrebbe portare a possibili conseguenze", ha detto Vladimir Dashchenko, esperto di sicurezza di Kaspersky.
Dashchenko afferma che un utente malintenzionato potrebbe sfruttare queste vulnerabilità dalla rete o direttamente da Internet. Tuttavia, non sembrano esserci casi del prodotto interessato esposti a Internet.
"Sulla base delle statistiche di Shodan, al momento non sono disponibili sistemi OpenEnterprise SCADA direttamente esposti", ha spiegato Dashchenko. "Significa che i proprietari di asset con OpenEnterprise installato stanno sicuramente seguendo i principi di sicurezza di base per i sistemi di controllo industriale."
Le restanti vulnerabilità possono essere sfruttate per intensificare i privilegi e ottenere password per gli account utente OpenEnterprise, ma lo sfruttamento in entrambi i casi richiede l'accesso locale al sistema di destinazione.
