情境示意圖,photo by cedric raddoux on unsplash

專注於工控系統的安全廠商Claroty Research發現,Moxa在內的三家工控系統的VPN產品存在遠端程式碼執行(RCE)漏洞,使其工控系統及網路曝露於駭客攻擊風險中。

該公司發現漏洞的VPN主要用於直接存取工控系統(ICS),後者的角色是維護和監控煉油、核電、水利/發電廠的廠區控制器及裝置,包括PLC及I/O裝置。這些工控系統主要是位於網路層Level 5,但其監控及可存取的設備則是位於網路Level 1/0。這些漏洞使攻擊者可經由VPN實作上的漏洞,直接存取廠區控制裝置,造成實際損害。

出現漏洞的產品分別來自Moxa、Secomea和 HMS Networks。首先CVE-2020-14511漏洞影響Moxa EDR-G902和EDR-G903的工業VPN路由器伺服器。成功開採這漏洞可讓攻擊者發送惡意HTTP呼叫,在目標系統的網頁伺服器觸發記憶堆疊(stack)的緩衝溢位,而不需任何輸入密碼便能遠端執行程式碼。

其次是Secomea GateManager,它是 ICS遠端存取伺服器,常部署為SaaS服務,可提供快速連網服務,但免於伺服器的繁複設定。研究人員發現它的路由執行個體元件存在重大風險的CVE-2020-145漏洞。GateManager伺服器的執行個體元件為了接收遠端網站或裝置的連線,曝露於外部網路如網際網路。新發現的漏洞出在它處理終端發出的HTTP呼叫標頭不當,使駭客可以執行任意程式碼、取得企業內部網路控制權,還能解密所有經由VPN傳送的流量內容。

GateManager另外還出現兩個非由Claroty Research揭露的漏洞,包括RCE漏洞CVE-2020-14508以及指令執行漏洞CVE-2020-14510。

另一個問題產品是HMS Networks的eWon,它是提供機器設備商等製造廠遠端監控工廠設備效能的VPN連線伺服器。使用者透過名為eCatcher的VPN用戶端軟體來連結eWon。Claroty研究人員發現eCatcher存在重大的堆疊記憶體緩衝溢位漏洞(CVE-2020-14498),如果使用者被引誘造訪惡意網站,或是開啟包含HTML的惡意郵件,就能觸發這項漏洞。研究人員進行PoC測試下,只要用戶電腦的Outlook接收並載入一封包含惡意圖檔的郵件,就能以最高權限執行程式碼,接管用戶整臺機器。

研究人員發現這三個漏洞後分別在4月及5月通報業者,後者也在6月、7月完成修補。

研究人員指出,由於COVID-19疫情擴散,許多企業員工在家上班,使得提供遠端存取工控系統的工具運用愈來愈普及,但也會成為駭客攻擊的焦點。研究人員相信,攻擊者可能使用阻斷服務(DoS)、ICS勒索軟體、釣魚信件等手法來攻擊這些設備。

ICS相關的攻擊事件已屢見不鮮。伊朗7月間一個星期內連續發生核武及軍事設施兩起爆炸,媒體報導可能和駭客攻擊有關。


Advertisement

更多 iThome相關內容