พบช่องโหว่ DoS, Code Execution หลายรายการใน Rockwell Automation Controllers

เมื่อเร็วๆ นี้องค์กรที่ใช้ตัวควบคุมที่ผลิตโดย Rockwell Automation ได้รับแจ้งว่ามีช่องโหว่ร้ายแรงหลายรายการ สำนักงานความมั่นคงปลอดภัยทางไซเบอร์และโครงสร้างพื้นฐานของสหรัฐอเมริกา (CISA) เผยแพร่รายงาน 3 ฉบับเมื่อเมื่อที่ผ่านมา รวมถึง 4 ช่องโหว่ที่มีความรุนแรงสูง Rockwell Automation ได้ออกมาให้คําแนะนําสําหรับช่องโหว่ในด้านความปลอดภัย ข้อบกพร่องส่วนหนึ่งของ CVE-2022-3156 ซึ่งส่งผลกระทบต่อซอฟต์แวร์จำลองคอนโทรลเลอร์ Studio 5000 Logix Emulate ช่องโหว่นี้เกิดจากการกำหนดค่าที่ไม่ถูกต้องซึ่งส่งผลให้ผู้ใช้ได้รับสิทธิ์ขั้นสูงในบริการผลิตภัณฑ์บางอย่าง ให้ผู้โจมตีสามารถใช้ประโยชน์จากจุดอ่อนสำหรับการเรียกใช้การโจมตีโดยใช้โค้ดจากระยะไกล ช่องโหว่ในส่วนที่สองคือ CVE-2022-3157 ซึ่งส่งผลกระทบต่อคอนโทรลเลอร์ CompactLogix, GuardLogix (รวมถึง Compact) และ ControlLogix ผู้โจมตีสามารถใช้ประโยชน์จากข้อบกพร่อง เพื่อเริ่มการโจมตีแบบปฏิเสธการให้บริการ (DoS) กับอุปกรณ์โดยส่งคำขอ CIP ที่สร้างขึ้นเป็นพิเศษซึ่งทำให้เกิด “ข้อผิดพลาดที่ไม่สามารถกู้คืนได้”

ในส่วนของช่องโหว่ที่เหลือมีผลกระทบต่อ MicroLogix 1100 และ 1400 Programmable Logic Controller (PLCs) ส่วนหนึ่งของช่องโหว่ด้านความปลอดภัย CVE-2022-46670 ปัญหาก็คือ cross-site scripting (XSS) ที่จัดเก็บไว้ในเว็บเซิร์ฟเวอร์แบบฝังที่สามารถใช้ประโยชน์สำหรับการเรียกใช้โค้ดจากระยะไกลโดยไม่ต้องมีการตรวจสอบสิทธิ์ “เพย์โหลดจะถูกถ่ายโอนไปยังคอนโทรลเลอร์ผ่าน SNMP และแสดงผลบนหน้าแรกของเว็บไซต์ที่ฝังตัว” Rockwell อธิบายไว้ในคำแนะนำ (จำเป็นต้องลงทะเบียน)ข้อผิดพลาดที่สองของ CVE-2022-3166 เป็นปัญหาการแฮ็กแบบคลิกซึ่งผู้โจมตีสามารถใช้ประโยชน์จากการเข้าถึงอุปกรณ์ที่ได้รับผลกระทบซึ่งส่งผลให้เกิดการ DoS ในแอปพลิเคชันเว็บเซิร์ฟเวอร์ได้ สถาบันเทคโนโลยี Veermata Jijabai (VJTI) และ Georgia Institute of Technology ได้รับการยกย่องในการรายงานช่องโหว่ของ MicroLogix PLC ให้กับ Rockwell และช่องโหว่ 2 รายการแรกได้รับการแก้ไขด้วยการอัปเดตแล้ว ทางผู้จำหน่ายได้เตรียมรับมือกับผลกระทบที่ควรป้องกันการโจมตี Rockwell กล่าวว่าไม่ได้ตระหนักถึงการโจมตีที่เป็นอันตรายใด ๆ ที่ใช้ประโยชน์จากช่องโหว่เหล่านี้