Производители АСУ ТП оценивают влияние уязвимостей в OPC UA на свои продукты

Производители промышленных систем по всему миру исправляют в своих продуктах две новые уязвимости в OPC UA, и одной из первых уведомление безопасности опубликовала немецкая компания Beckhoff.

Ранее в этом месяце Агентство кибербезопасности и безопасности инфраструктуры США (CISA) предупредило о двух уязвимостях в OPC UA, обнаруженных исследователем безопасности израильской компании OTORIO Эраном Джейкобом (Eran Jacob).

OPC Unified Architecture (OPC UA) представляет собой протокол передачи данных между устройствами, широко используемый в промышленной автоматизации.

Первая проблема ( CVE-2021-27432 ) – неконтролируемая рекурсия, приводящая к переполнению стека. Уязвимость затрагивает OPC UA .NET Standard и Legacy. Вторая уязвимость ( CVE-2021-27434 ) – проблема раскрытия информации, затрагивающая Unified Automation .NET на базе OPC UA клиент/сервер SDK. Разработчик OPC UA, консорциум OPC Foundation, выпустил исправления для уязвимостей в марте нынешнего года.

Проблема, затрагивающая ПО Unified Automation, связана с эксплуатацией уязвимых версий фреймворка .NET. Согласно CISA, CVE-2021-27434 связана с уязвимостью в .NET, исправленной Microsoft в 2015 году (CVE-2015-6096).

Множество поставщиков оценивают потенциальное влияние этих уязвимостей на свои продукты, но похоже, уведомление безопасности выпустил пока только компания Beckhoff. Как сообщил производитель, проблемы затрагивают его TwinCAT. Неавторизованные злоумышленники могут проэксплуатировать уязвимости для создания условия отказа в обслуживании (DoS) или для получения информации путем отправки специально созданных пакетов OPC UA.

По словам Джейкоба, уязвимости можно проэксплуатировать удаленно через интернет, если уязвимый сервер OPC UA доступен через интернет или уязвимый клиент получает доступ к серверу, контролируемому злоумышленником.