Эксперты по кибербезопасности Microsoft обнаружили ряд уязвимостей в инструментах разработки ПО для программируемых логических контроллеров (ПЛК) — это оборудование широко применяется в промышленности, и его взлом чреват серьёзными последствиями. В частности, эксплуатация уязвимостей грозит остановкой электростанций.
Источник изображения: microsoft.com
Владимир Токарев, специалист Microsoft по анализу угроз, описал 15 ошибок в пакете разработки CODESYS V3 SDK, используемом для миллионов ПЛК в промышленных средах по всему миру. Уязвимостям присвоены номера с CVE-2022-47379 до CVE-2022-47393 с рейтингом от 7,5 до 10 из 10. Пакет используют более 500 производителей оборудования — ПЛК задействованы в различных областях, включая робототехнику, подачу питания для ЦОД, медицинские решения и системы безопасности, а также системы автоматизации коммерческих и жилых зданий. Это многие тысячи предприятий и учреждений по всему миру.
Эксплуатация обнаруженных уязвимостей требует аутентификации злоумышленника, но это едва ли станет препятствием для киберпреступников, решивших атаковать инфраструктурные объекты. Ошибки позволяют запускать на взломанном оборудовании удалённый код и вызывать отказ в обслуживании. Microsoft обнаружила уязвимости ещё в сентябре 2022 года — использующим CODESYS разработчикам рекомендовано оперативно обновить инструменты до версии 3.5.19.0. Для дополнительной защиты предлагается отключить ПЛК и соответствующую инфраструктуру от интернета и сегментировать её, чтобы снизить вероятность атаки.
Кроме того, подразделение Microsoft 365 Defender выпустило бесплатный программный инструмент, призванный помочь инженерам и администраторам обнаруживать уязвимые и скомпрометированные устройства в инфраструктуре.