Beş üreticinin altı farklı Otomatik Tank Göstergesi (ATG) sisteminde, onları uzaktan saldırılara maruz bırakabilecek kritik güvenlik açıkları ortaya çıktı.
Bitsight araştırmacısı Pedro Umbelino geçen hafta yayınlanan bir raporda, “Bu güvenlik açıkları, kötü niyetli aktörler tarafından fiziksel hasar, çevresel tehlikeler ve ekonomik kayıplar da dahil olmak üzere yaygın hasara neden olacak şekilde kullanılabilecekleri için önemli gerçek dünya riskleri oluşturuyor.” dedi.
Daha da kötüsü analiz, binlerce ATG’nin internete maruz kaldığını ve bunun da onları benzin istasyonlarına, hastanelere, havalimanlarına, askeri üslere ve diğer kritik altyapı tesislerine yıkıcı ve yıkıcı saldırılar düzenlemek isteyen kötü niyetli aktörler için kazançlı bir hedef haline getirdiğini ortaya çıkardı.
ATG’ler, sızıntıyı ve parametreleri belirlemek amacıyla bir depolama tankının (örneğin yakıt deposu) seviyesini belirli bir süre boyunca izlemek için tasarlanmış sensör sistemleridir. Dolayısıyla bu tür sistemlerdeki güvenlik açıklarından yararlanılması, hizmet reddi (DoS) ve fiziksel hasar gibi ciddi sonuçlara yol açabilir.
Yeni keşfedilen 11 güvenlik açığı, Maglink LX, Maglink LX4, OPW SiteSentinel, Proteus OEL8000, Alisonic Sibylla ve Franklin TS-550 olmak üzere altı ATG modelini etkiliyor. 11 kusurdan sekizinin ciddiyeti kritik olarak derecelendirildi –
- CVE-2024-45066 (CVSS puanı: 10,0) – Maglink LX’te işletim sistemi komut ekleme
- CVE-2024-43693 (CVSS puanı: 10,0) – Maglink LX’te işletim sistemi komut ekleme
- CVE-2024-43423 (CVSS puanı: 9,8) – Maglink LX4’te sabit kodlanmış kimlik bilgileri
- CVE-2024-8310 (CVSS puanı: 9,8) – OPW SiteSentinel’de kimlik doğrulamayı atlama
- CVE-2024-6981 (CVSS puanı: 9,8) – Proteus OEL8000’de kimlik doğrulamayı atlama
- CVE-2024-43692 (CVSS puanı: 9,8) – Maglink LX’te kimlik doğrulamayı atlama
- CVE-2024-8630 (CVSS puanı: 9,4) – Alisonic Sibylla’da SQL enjeksiyonu
- CVE-2023-41256 (CVSS puanı: 9,1) – Maglink LX’te kimlik doğrulamayı atlama (daha önce açıklanan bir kusurun kopyası)
- CVE-2024-41725 (CVSS puanı: 8,8) – Maglink LX’te siteler arası komut dosyası oluşturma (XSS)
- CVE-2024-45373 (CVSS puanı: 8,8) – Maglink LX4’te ayrıcalık artışı
- CVE-2024-8497 (CVSS puanı: 7,5) – Franklin TS-550’de rastgele dosya okundu
Umbelino, “Tüm bu güvenlik açıkları, cihaz uygulamasında tam yönetici ayrıcalıklarına ve bazıları da tam işletim sistemi erişimine izin veriyor” dedi. “En zarar verici saldırı, cihazların bileşenlerine veya ona bağlı bileşenlere fiziksel zarar verebilecek şekilde çalışmasını sağlamaktır.”
OpenPLC, Riello NetMan 204 ve AJCloud’da Keşfedilen Kusurlar
Açık kaynaklı OpenPLC çözümünde, uzaktan kod yürütmeyi gerçekleştirmek için kullanılabilecek kritik bir yığın tabanlı arabellek taşması hatası (CVE-2024-34026, CVSS puanı: 9.0) dahil olmak üzere güvenlik kusurları da ortaya çıkarıldı.
Cisco Talos, “Desteklenmeyen bir komut kodu, geçerli bir kapsülleme başlığı ve en az 500 toplam bayt içeren bir ENIP isteği göndererek, tahsis edilen log_msg arabelleğinin sınırlarının ötesine yazı yazmak ve yığını bozmak mümkündür” dedi. “Söz konusu ana bilgisayarda etkinleştirilen güvenlik önlemlerine bağlı olarak, daha fazla istismar mümkün olabilir.”
Bir başka güvenlik açığı seti, kötü niyetli kişilerin UPS’in kontrolünü ele geçirmesine ve hatta toplanan günlük verilerini kurcalamasına olanak tanıyan, Kesintisiz Güç Kaynağı (UPS) sistemlerinde kullanılan Riello NetMan 204 ağ iletişim kartıyla ilgilidir.
- CVE-2024-8877 – Üç API uç noktasında /cgi-bin/db_datalog_w.cgi, /cgi-bin/db_eventlog_w.cgi ve /cgi-bin/db_multimetr_w.cgi’de keyfi veri değişikliğine izin veren SQL enjeksiyonu
- CVE-2024-8878 – /recoverpassword.html uç noktası aracılığıyla kimliği doğrulanmamış parola sıfırlama, parolayı sıfırlamaya yönelik kurtarma kodunun hesaplanabileceği aygıttan netmanid elde etmek için kötüye kullanılabilir
CyberDanube’dan Thomas Weber, “‘/recoverpassword.html’ dosyasına kurtarma kodunun girilmesi, oturum açma kimlik bilgilerini admin:admin olarak sıfırlar” dedi ve bunun, saldırgana cihazı ele geçirip kapatma olanağı verebileceğini belirtti.
Her iki güvenlik açığı da yama uygulanmadan kalıyor ve bu durum, bir düzeltme sağlanana kadar kullanıcıların kritik ortamlardaki cihazlara erişimini sınırlamasını gerektiriyor.
Ayrıca, AJCloud IP kamera yönetimi platformunda, başarılı bir şekilde kullanılması durumunda hassas kullanıcı verilerinin açığa çıkmasına yol açabilecek ve saldırganlara akıllı ev bulut hizmetine bağlı herhangi bir kameranın tam uzaktan kontrolünü sağlayabilecek birkaç kritik güvenlik açığı da dikkate alınmalıdır.
Elastic Security Labs, “Anahtar bir yapılandırma dosyasına kasıtlı olarak rastgele yazma erişimi sağlayan yerleşik bir P2P komutu, kameraları kalıcı olarak devre dışı bırakmak veya arabellek taşmasını tetikleyerek uzaktan kod yürütülmesini kolaylaştırmak için kullanılabilir.” dedi. Çinli şirket bugüne kadar başarısız oldu.
CISA, OT Ağlarına Karşı Devam Eden Saldırılar Konusunda Uyardı
Bu gelişme, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı’nın (CISA), Su ve Atık Su Sistemleri (WWS) Sektörü de dahil olmak üzere internetten erişilebilen operasyonel teknoloji (OT) ve endüstriyel kontrol sistemleri (ICS) cihazlarına yönelik artan tehditleri işaretlemesiyle ortaya çıktı.
CISA, “Açık ve savunmasız OT/ICS sistemleri, siber tehdit aktörlerinin varsayılan kimlik bilgilerini kullanmasına, kaba kuvvet saldırıları gerçekleştirmesine veya bu cihazlara erişmek ve zarar vermek için diğer karmaşık olmayan yöntemleri kullanmasına izin verebilir” dedi.
Bu Şubat ayının başlarında ABD hükümeti, İran istihbarat teşkilatı ile bağlantılı altı yetkiliye, ABD ve diğer ülkelerdeki kritik altyapı kuruluşlarına saldırdıkları için yaptırım uyguladı.
Bu saldırılar, varsayılan şifrelerin kullanımı yoluyla internete kamuya açık olan İsrail yapımı Unitronics Vision Serisi programlanabilir mantık denetleyicilerinin (PLC’ler) hedef alınmasını ve ele geçirilmesini içeriyordu.
Endüstriyel siber güvenlik şirketi Claroty, o zamandan beri kullanıcıların Unitronics ile entegre HMI’lardan/PLC’lerden adli tıp bilgileri almasına olanak tanıyan PCOM2TCP ve PCOMClient adlı açık kaynaklı iki araca sahip.
“PCOM2TCP, kullanıcıların seri PCOM mesajlarını TCP PCOM mesajlarına (veya tam tersi) dönüştürmesine olanak tanır” dedi. “PCOMClient adı verilen ikinci araç, kullanıcıların Unitronics Vision/Samba serisi PLC’lerine bağlanmalarına, onu sorgulamalarına ve PLC’den adli bilgiler çıkarmalarına olanak tanıyor.”
Ayrıca Claroty, uzaktan erişim çözümlerinin OT ortamlarında (dört ila 16 arasında) aşırı dağıtımının kuruluşlar için yeni güvenlik ve operasyonel riskler oluşturduğu konusunda uyardı.
“Kuruluşların %55’i, OT’yi dış dünyaya bağlayan dört veya daha fazla uzaktan erişim aracı kullandı; bu, karmaşık ve yönetimi pahalı olan geniş saldırı yüzeylerine sahip şirketlerin endişe verici bir yüzdesidir” diye belirtti.
“Mühendisler ve varlık yöneticileri, OT ortamındaki düşük güvenlikli uzaktan erişim araçlarının, özellikle de bilinen güvenlik açıklarına sahip olanların veya MFA gibi temel güvenlik özelliklerine sahip olmayanların kullanımını aktif olarak ortadan kaldırmaya veya en aza indirmeye çalışmalıdır.”