Раскрыты детали уязвимостей в контроллерах Wago и счетчиках Schneider

Раскрыты детали уязвимостей в контроллерах Wago и счетчиках Schneider

Раскрыты детали уязвимостей в контроллерах Wago и счетчиках Schneider

Компания Forescout Technologies опубликовала очередной отчет об уязвимостях устройств, используемых в промышленном производстве. В документе разобраны две проблемы контроллеров Wago 750 и опасная дыра в продуктах Schneider Electric ION и PowerLogic.

Согласно Forescout, уязвимостям CVE-2023-1619 и CVE-2023-1620 подвержены Wago 750, использующие среду выполнения Codesys v2. Обе проблемы позволяют после аутентификации вызвать отказ в обслуживании (DoS); степень опасности угрозы в обоих случаях оценена в 4,9 балла CVSS.

Причиной появления CVE-2023-1619 является некорректная реализация парсера протоколов, CVE-2023-1620 — отсутствие таймаута сессии. Эксплойт осуществляется отправкой вредоносного пакета или запроса после выхода из аккаунта; для возврата устройства в рабочее состояние его придется перезапустить вручную.

Уязвимость CVE-2022-46680 в продуктах Schneider линеек ION и PowerLogic более опасна: производитель дал ей 8,8 балла, аналитики из NIST — 9,8 балла из 10 возможных по шкале CVSS. Проблема вызвана небезопасной реализацией протокола передачи данных в электросчетчиках: все их сообщения содержат ID пользователя и пароль, притом открытым текстом.

Успешный эксплойт грозит раскрытием конфиденциальной информации, DoS и подменой данных в тех случаях, когда у автора атаки есть возможность пассивно перехватывать трафик. Уязвимость была найдена в июне прошлого года, однако с публикацией по просьбе Schneider пришлось повременить; обновление прошивки (Version 4.0.0) уже год как доступно (PDF).

Контроллеры Wago и счетчики Schneider по идее не должны присутствовать в Сети. Поиск через Shodan, проведенный Forescout в конце апреля, выявил порядка 2-4 тыс. потенциально уязвимых устройств, доступных из интернета — по HTTP (Wago) или Telnet (Schneider).

Несколько месяцев назад в ПЛК Wago были закрыты две уязвимости, грозящие полной компрометацией системы. Критические уязвимости в контроллерах вендора также объявлялись и ранее — например, в 2021 году.

ГАИ проиграла суд против роботов-доставщиков

Московский городской суд отклонил жалобу ГАИ на решение суда первой инстанции, который не усмотрел в действиях роботов-доставщиков состава административного правонарушения, связанного с нарушением Правил дорожного движения. Ранее ГАИ обвинило дочернюю компанию Яндекса — «Рободоставку» — в нарушении ПДД.

Поводом для разбирательства стало происшествие 7 марта, когда инспектор ГАИ счёл, что робот-доставщик, передвигавшийся по тротуару, создаёт помехи пешеходам.

По мнению инспектора, это подпадало под статью 12.33 КоАП РФ. Компании «Рободоставка» в этом случае грозил штраф в размере 300 тыс. рублей.

Представители Яндекса с такой трактовкой не согласились, указав, что в действиях роботов-доставщиков отсутствует и не может присутствовать умысел. Дело было рассмотрено в Мещанском районном суде Москвы, который поддержал позицию компании.

«Роботы-доставщики не относятся к транспортным средствам, определённым нормами действующего законодательства. Как следует из видеозаписи, робот-доставщик передвигался по краю тротуара, не перекрывая пешеходную зону, автоматически останавливался при приближении людей. Пешеходы продолжали движение. Контакта, вынужденного сближения, опасных манёвров или остановок зафиксировано не было. Следовательно, объективных признаков угрозы безопасности дорожного движения не имелось», — такую выдержку из решения суда приводит Autonews.

ГАИ с таким решением не согласилась и подала жалобу в Московский городской суд. Однако Мосгорсуд оставил её без удовлетворения. Решение было принято ещё 5 февраля, но опубликовано только вечером 9 февраля.

«Мы работаем над тем, чтобы роботы-доставщики безопасно и корректно интегрировались в городскую среду и городскую инфраструктуру в рамках экспериментального правового режима, а также находимся в постоянном взаимодействии с профильными ведомствами. Подобные кейсы помогают формировать и развивать понятные правила использования автономных устройств в городе по мере накопления практического опыта», — прокомментировали судебное решение в Яндексе.

RSS: Новости на портале Anti-Malware.ru