Siemens schließt Sicherheitslücken in ISC-Ausrüstung

Siemens, Hersteller von industriellen Kontrollsystemen (ISC), hat eine neue Version seiner Prozessor-Familie SIMATIC S7-1200 veröffentlicht und damit sechs Sicherheitslücken in diesem Produkt sowie zwei weitere in SIMATIC S7-1200 PLC (speicherprogrammierbare Steuerung) geschlossen.

Diese Patches sind so kritisch, dass sie eine Warnmitteilung auf der Website des ISC-CERT wert waren.

Alle sechs Bugs in den Prozessoren der Familie SIMATIC S7-1200 CPU können entfernt ausgenutzt werden, und betroffen sind alle Produkte der Versionen bis V4.0. Diese Schwachstellen können auf veralteten Systemen Cyberkriminellen potentiell die Möglichkeit geben, DoS-Attacken durchzuführen, indem sie speziell erstellte HTTP(S)-, ISO-TSAP- oder Profinet-Netzpakete versenden. Darüber hinaus ist auch der in dieses Produkt integrierte Webserver angreifbar gegenüber Cross Site Request Forgery (Website übergreifende Anfragenfälschung) und Privilegien-Eskalationsattacken. Jede dieser Attacken kann im Netz ohne Authentifizierung ausgenutzt werden.

Die Systeme SIMATIC S7-1200 PLC enthalten zwei Sicherheitslücken, die durch fehlerhafte Input-Kontrolle bedingt sind, die auch entfernt ausgenutzt werden können. Auch in diesem Fall kann ein kompetenter Angreifer diese Fehler zur Durchführung von DoS-Attacken ausnutzen.

Wie immer in einem solchen Fall hängt der Effekt aller aufgezählten Bugs fast vollständig von der Art ab, wie das konkrete System umgesetzt ist.

Ralf Spenneberg von OpenSource Training, Lucian Cojocar von EURECOM, Sascha Zinke vom Arbeitsteam SCADACS der FU Berlin sowie die Forscher Alexey Osipov und Alex Timorin von Positive Technologies haben die sechs Schwachstellen in der SIMATIC S7-1200 CPU-Familie von Siemens entdeckt. Eine genauere Beschreibung dieser Fehler finden Sie hier.

Professor Hartmut Pohl von der Swedish Defence Research Agency entdeckte die Fehler in Siemens SIMATIC S7-1200 PLC. Hier finden Sie weitere Details zu diesen Sicherheitslücken.

SCADA-Software, ICS-Equipment und Systeme der kritischen Infrastruktur sind fortwährend angreifbar. Schlimmer noch, je besser die Entwickler von Betriebssystemen in punkto Sicherheit werden und je schwerer sie es Angreifern machen, erfolgreiche Exploits für ihre Produkte zu schreiben, desto eher wenden sich Hacker einfacheren Zielen zu. Der Sicherheitszustand von kritischer Infrastruktur ist so beklagenswert, dass einige Experten die Frage stellen, ob es nicht an der Zeit sei, ein Zertifizierungssystem für ICS-Sicherheitsexperten zu entwickelt.

Quelle: threatpost

Ähnliche Beiträge

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.