Siemens Simatic WinCC sérülékenységek

2012. február 16. 09:10

CH azonosító

CH-6410

Angol cím

Siemens Simatic WinCC Multiple Vulnerabilities

Felfedezés dátuma

2012.02.15.

Súlyosság

Kritikus

Érintett rendszerek

SIMATIC HMI panels
SIMATIC WinCC
Siemens

Érintett verziók

Siemens WinCC flexible 2004, 2005, 2007, 2008
Siemens WinCC flexible Runtime
Siemens WinCC V11 (TIA portal)
Siemens WinCC V11 Runtime Advanced
Siemens SIMATIC HMI panels (TP, OP, MP, Comfort Panels, Mobile Panels)

Összefoglaló

A Siemens Simatic WinCC több sérülékenységét jelentették, amelyeket kihasználva a támadók feltörhetik a sérülékeny rendszereket.

Leírás

Amennyiben egy felhasználó (vagy adminisztrátor) belép az eszközbe, akkor a felhasznált hitelesítési tokenek/cookiek megjósolhatók lesznek, amelyet kihasználva meg lehet kerülni a hitelesítési eljárásokat, és emelt szintű jogosultságokat lehet szerezni.
Az alapértelmezett administrator jelszó túlságosan egyszerű, amit brute force módszerrel könnyen meg lehet fejteni.
A SIMATIC HMI Smart Options webszerver két sérülékenységét kihasználva, XSS (cross-site scripting) támadást lehet végrehajtani, amelynek következtében emelt szintű jogosultságokat lehet szerezni, bizalmas adatokhoz lehet hozzáférni, illetve szolgáltatás megtagadást (DoS – Denial of Service) lehet előidézni.
A HMI web szerver egy sérülékenységét kihasználva, a fejlécek módosításával emelt szintű jogosultságokat lehet szerezni, bizalmas adatokhoz lehet hozzáférni, illetve szolgáltatás megtagadást lehet előidézni.
Egy speciálisan elkészített projekt fájl megnyitásával tetszőleges kódot lehet végrehajtani.
A defalut SIMATIC panelek egy telnet deamon-t is futtatnak, amely nem tartalmaz semmilyen hitelesítési funkciót.
A 2308/TCP és 50523/TCP portokon futó runtime loader (engedélyezett transfer módban) nem megfelelően ellenőrzi a küldött adatok hosszát és a Unicode stringeket, amit kihasználva verem túlcsordulást lehet előidézni.
A 2308/TCP és 50523/TCP portokon futó runtime loader (engedélyezett transfer módban) nem megfelelően ellenőrzi a beérkező string-eket. Ezt kihasználva a támadók teljes hozzáférést szerezhetnek az állományokhoz könyvtár bejárásos támadás segítségével.
A 2308/TCP és 50523/TCP portokon futó runtime loader (engedélyezett transfer módban) nem megfelelően ellenőrzi a beérkező adatokat. Ezt kihasználva szolgáltatás megtagadást lehet előidézni.
A HMI webszerver nem megfelelően ellenőrzi a 80/TCP és a 443/TCP portra érkező HTTP kéréseket, amit kihasználva speciálisan elkészített URL-ek segítségével könyvtár bejárásos (directory traversal) támadást lehet végrehajtani, illetve bizalmas adatokat lehet szerezni.
A HMI webszerver nem megfelelően hitelesíti a HTTP kéréseket. Ezt kihasználva, a támadó módosíthatja az URL első bájtját, így a szerver speciális módon kezeli az URL-t. Ennek következtében a támadó képes olvasni az alkalmazás memóriáját, illetve szolgáltatás megtagadást idézhet elő.