Взломать водоочистную систему: с промышленным маршрутизатором Moxa это легко

10 0

Эксперты по безопасности из команды Cisco Talos нашли 17 уязвимостей в промышленных маршрутизаторах Moxa, которые могут, например застопорить работу насосной станции.

Уязвимости обнаружили в интегрированном промышленном защищенном маршрутизаторе модели Moxa EDR-810, которая поступила в продажу в 2013 году. Этот маршрутизатор предназначен для контроля, мониторинга и защиты критической инфраструктуры, в том числе — насосных и очистных систем на водных станциях, программируемых логических контроллеров и системы SCADA в приложениях автоматизации производства, распределенных систем управления в нефтегазовых организациях.

Производитель описывает EDR-810 как “промышленный многопортовый защищенный маршрутизатор с функциями Firewall/NAT/VPN и управляемым коммутатором второго уровня…который эффективно передает данные, организуя при этом защиту сети и сетевых устройств от атак и несанкционированного доступа.”

Эксперты из группы Cisco Talos, однако, нашли в этом маршрутизаторе Moxa серьезные недоработки, в частности, уязвимости командной строки, которые влияют на функциональность web-сервера. Используя данную дыру, хакер может получить права суперпользователя на системе, отправив специально сформированные HTTP-запросы POST на целевое устройство. Другая дыра позволяет через еще один специально сформированный запрос добиться отказа в обслуживании. И это не говоря о такой мелочи, как вообще не зашифрованные пароли. Сообщается, что в версии прошивки 4.2 производитель исправил все найденные уязвимости.

Напомним, 6 апреля 2018 года коммутаторы самой Cisco подверглись одной из крупнейших в истории кибератак, потенциально затронувшей около 200 тысяч устройств. Как утверждает Лаборатория Касперского, инцидент имеет политическую подоплеку. Через уязвимость в Cisco Smart Install Client, хакеры получили возможность исполнять произвольный код на устройствах. Типовое изменение перезаписывало образ системы Cisco IOS и изменяло конфигурационный файл, добавляя в него строку «Do not mess with our elections» («Не вмешивайтесь в наши выборы»).

Подписываемся, следим @CyberAgency

Related Post

У медицинского искусственного интеллекта будет не больше прав, чем у молотка

Опубликовано - 09.02.2018 0
Сегодня на пресс-конференции «Цифровая экономика и искусственный интеллект» глава АНО «Право роботов» Никита Куликов рассказал о том, как будут формироваться…

Странам БРИКС прописали отдельный интернет

Опубликовано - 30.11.2017 0
Рекомендацию Совета безопасности России фактически создать в странах БРИКС паралелльный интернет подтвердил сопредседатель Ассоциации юристов России Сергей Степашин. «Это была…

IoT загоняют в рамки

Опубликовано - 16.03.2017 0
Некоммерческий Консорциум промышленного интернета (IIT) подготовил рекомендации по повышению совместимости различных систем интернета вещей (IoT). Документ Industrial Internet Connectivity Framework…

Добавить комментарий