Güvenlik araştırmacıları, Schneider Electric Modicon programlanabilir mantık denetleyicilerini (PLC’ler) etkileyen ve kimlik doğrulama atlamasına ve uzaktan kod yürütmeye izin verebilecek iki yeni güvenlik açığını açıkladı.
CVE-2022-45788 (CVSS puanı: 7.5) ve CVE-2022-45789 (CVSS puanı: 8.1) olarak izlenen kusurlar, Forescout tarafından OT:ICEFALL olarak izlenen daha geniş bir güvenlik kusurları koleksiyonunun parçasıdır.
Hataların başarılı bir şekilde kullanılması, bir saldırganın yetkisiz kod yürütmesine, hizmet reddine veya hassas bilgilerin ifşasına olanak sağlayabilir.
Siber güvenlik şirketi, operasyonel teknoloji (OT) ağlarında derin yanal hareket elde etmek için eksikliklerin diğer satıcılardan (örn. CVE-2021-31886) bilinen kusurlara sahip bir tehdit aktörü tarafından zincirlenebileceğini söyledi.
Forescout, “Derin yanal hareket, saldırganların endüstriyel kontrol sistemlerine derin erişim elde etmelerine ve genellikle gözden kaçan güvenlik sınırlarını aşmalarına olanak tanıyarak, son derece ayrıntılı ve gizli manipülasyonlar gerçekleştirmelerinin yanı sıra işlevsel ve güvenlik sınırlamalarını geçersiz kılmalarına olanak tanır” dedi.
San Jose merkezli firma tarafından tasarlanan oldukça karmaşık bir kavram kanıtı (PoC) siber-fiziksel saldırı, kusurların güvenlik korkuluklarını atlamak ve hareketli bir köprü altyapısına zarar vermek için silah haline getirilebileceğini buldu.
Tehdit aktörlerinin endüstriyel kontrol sistemlerini bozmak için karmaşık kötü amaçlı yazılımlar uydurmasıyla, bu kusurların sağladığı derin yanal hareket, rakiplerin “ilgi çekici olmayan bir cihazı daha ilginç hedeflere doğru ilerlemek için bir hazırlık noktası olarak” kullanmasına izin verebilir.
Siber güvenlik şirketi Otorio’ya göre bulgular, kablosuz endüstriyel nesnelerin interneti (IIoT) cihazlarında ortaya çıkan ve bir saldırganın OT ağlarına doğrudan erişim sağlayabilen 38 güvenlik açığının hemen ardından geliyor.
Zayıflıklar birlikte ele alındığında, IoT cihazları, bulut tabanlı yönetim platformları ve iç içe OT ağlarından kaynaklanan fiziksel operasyonlara yönelik gerçek tehditlerin de altını çiziyor.