Новые уязвимости ПЛК Rockwell грозят атаками на АСУ ТП в стиле Stuxnet

Новые уязвимости ПЛК Rockwell грозят атаками на АСУ ТП в стиле Stuxnet

Новые уязвимости ПЛК Rockwell грозят атаками на АСУ ТП в стиле Stuxnet

Исследователи из Claroty обнаружили в продуктах Rockwell Automation две уязвимости, открывающие возможность для совершения диверсии на объекте критической важности (КИИ). Одна из этих проблем оценена как крайне опасная — в 10 баллов из 10 возможных по шкале CVSS.

По словам авторов находки, найденные уязвимости позволяют незаметно изменить логику контроллеров и нарушить автоматизированные процессы на предприятии. Похожая атака была зафиксирована более десяти лет в Иране; злоумышленники пронесли зараженную флешку на завод по обогащению урана и пытались с помощью сетевого червя Stuxnet остановить центрифуги.

Уязвимость CVE-2022-1161 (10 баллов CVSS) была выявлена в прошивке ПЛК семейства *Logix. С ее помощью автор атаки может привнести изменения в байт-код, не трогая текстовое представление программы, написанной на ST. Доступ к контроллерам потребует аутентификации; обойти это препятствие, по словам Claroty, поможет эксплойт CVE-2021-22681.

 

Вторая уязвимость, CVE-2022-1159 (7,7 балла) объявилась в приложении Studio 5000 Logix Designer, которое компилирует пользовательские программы и передает результат на ПЛК. Эксплойт возможен лишь при наличии админ-доступа к рабочей станции с установленным Designer-софтом и позволяет модифицировать бинарный код, выполняемый в системах управления оборудованием.

Производитель создал специальные анализаторы для выявления скрытых кодов на ПЛК и советует пользователям обновить Studio 5000 до версии 34 или выше, а также прошивки затронутых контроллеров. Для снижения рисков рекомендуется перекомпилировать и загрузить пользовательский программный код (acd) и установить переключатель режимов контроллера в положение Run — либо отслеживать неожиданные изменения и аномальную активность по логам ПЛК и с помощью соответствующей функции Logix Designer.

Минцифры создаст полигон для тестирования систем с ИИ на безопасность

Минцифры планирует создать киберполигон для тестирования систем с искусственным интеллектом (ИИ) на безопасность. В первую очередь речь идёт о решениях, предназначенных для применения на объектах критической инфраструктуры, а также о системах с функцией принятия решений.

О том, что министерство ведёт работу над созданием такого полигона, сообщил РБК со ссылкой на несколько источников.

Площадка будет использоваться для тестирования ИИ-систем, которые в дальнейшем должны пройти сертификацию ФСТЭК и ФСБ России. Это предусмотрено правительственным законопроектом «О применении систем искусственного интеллекта органами, входящими в единую систему публичной власти, и внесении изменений в отдельные законодательные акты».

Документ вводит четыре уровня критичности ИИ-систем:

  • минимальный — влияние на безопасность отсутствует или минимально;
  • ограниченный;
  • высокий — относится к системам, используемым на объектах критической информационной инфраструктуры;
  • критический — системы, способные угрожать жизни и здоровью людей или безопасности государства, а также автономные комплексы, принимающие самостоятельные решения.

Определять уровень критичности будет Национальный центр искусственного интеллекта в сфере госуправления при правительстве. Эта же структура займётся ведением реестра сертифицированных ИИ-систем.

Конкретные требования к сертификации планируется закрепить в отдельных нормативных документах, которые пока находятся в разработке. На текущем этапе единственным обязательным условием является включение программного обеспечения в реестр Минцифры.

По данным «Российской газеты», распространять новые требования на коммерческие ИИ-решения не планируется. При этом в аппарате первого вице-премьера Дмитрия Григоренко пояснили, что ключевая цель законопроекта — снизить риски применения ИИ в сферах с высокой ценой ошибки, включая здравоохранение, судопроизводство, общественную безопасность и образование.

RSS: Новости на портале Anti-Malware.ru