Mitsubishi MELSEC System Q-серия Промышленные контроллеры

2024: Устранение пяти уязвимостей удаленного выполнения кода

Эксперт Positive Technologies Антон Дорфман выявил пять уязвимостей в процессорных модулях ПЛК серий MELSEC System Q и MELSEC System L. Это оборудование может применяться в химической промышленности, для производства полупроводников, автоматизации зданий и в других сферах. В России контроллеры MELSEC System Q используются, в частности, в нефтегазовой отрасли. Mitsubishi Electric входит в первую тройку на мировом рынке промышленных контроллеров и выпустила свыше 17 миллионов компактных ПЛК. Вендор был уведомлен об уязвимостях в рамках политики ответственного разглашения, предпринял меры по снижению угроз и запланировал выпуск обновления ПО. Об этом Positive Technologies сообщили 22 мая 2024 года.

Все пять уязвимостей относятся к наиболее опасному типу — удаленное выполнение кода (RCE). Дистанционно их проэксплуатировав, атакующий мог бы получить полный контроль над ПЛК Mitsubishi Electric и технологическим процессом, которыми они управляют. Злоумышленник имел бы возможность изменить код прошивки ПЛК или внедрить дополнительные функции для манипуляции загруженной в контроллер программой управления (проектом). Подобные атаки в случае успеха могли бы привести к сбоям в технологических процессах в химической, нефтегазовой и других сферах. Для эксплуатации обнаруженных уязвимостей злоумышленнику достаточно было иметь сетевой доступ к контроллеру, — отметил Антон Дорфман, главный исследователь безопасности прошивок контроллеров отдела анализа приложений Positive Technologies.

Уязвимости CVE-2024-0802, CVE-2024-0803, CVE-2024-1915, CVE-2024-1916 и CVE-2024-1917 (BDU:2024-02053, BDU:2024-02214, BDU:2024-02215, BDU:2024-02216, BDU:2024-02217) получили одинаковую оценку — 9,8 баллов по шкале CVSS 3.0, что означает критический уровень опасности.

Данные PT Expert Security Center показывают наличие в интернете на момент публикации IP-адресов нескольких сотен уязвимых контроллеров Mitsubishi Electric MELSEC System Q. Больше всего такого оборудования находится в Японии (56%), даже следуют США (6%), Китай (5,5%), Южная Корея (5,5%), Тайвань (5,5%), Канада (4,5%), Польша (4%), Великобритания (2%), Бразилия (1,5%), Германия (1,5%), Россия (1,5%), Австрия (1%), Нидерланды (1%), Таиланд (1%).

Доступность этих устройств для злоумышленников была связана с ошибками конфигурирования. Реальное количество уязвимых контроллеров могло быть больше.

𝓲

Positive Technologie

Для снижения риска эксплуатации этих уязвимостей Mitsubishi Electric рекомендует использовать межсетевой экран и виртуальную частную сеть (VPN). Помимо этого, необходимо ограничить физический доступ к контроллерам, к рабочим станциям и сетевым устройствам, которые могут взаимодействовать с ПЛК.