Критическая дыра в ENIP-совместимых устройствах грозит взломом АСУ ТП

Критическая дыра в ENIP-совместимых устройствах грозит взломом АСУ ТП

Критическая дыра в ENIP-совместимых устройствах грозит взломом АСУ ТП

В прошивках десятка устройств, использующих комплект разработчика 499ES EtherNet/IP (ENIP) производства Real Time Automation (RTA), присутствует критическая уязвимость, позволяющая удаленно выполнить вредоносный код.

Разработчик SDK выпустил патч еще в 2012 году, однако многие продавцы оборудования для промышленной автоматизации приобрели право пользования проектом задолго до этого и продолжают привносить уязвимый код в свои реализации сетевого стека ENIP.

Согласно бюллетеню, выпущенному американской Группой реагирования на киберинциденты в сфере АСУ ТП (ICS-CERT), уязвимость, зарегистрированная под идентификатором CVE-2020-25159, относится к классу «переполнение буфера». Использование этой ошибки позволяет с помощью особого сетевого пакета, поданного на TCP-порт 44818, вызвать на устройстве состояние отказа в обслуживании, а при благоприятных условиях — даже выполнить произвольный код в системе.

Проблема была оценена в 9,8 балла из 10 возможных по шкале CVSS. Она присутствует во всех выпусках EtherNet/IP Adapter Source Code Stack, предшествующих пропатченному 2.28.

Поскольку стандарт ENIP широко используется в системах промышленной автоматизации, обнаружившие лазейку исследователи попытались определить современные масштабы бедствия. Поиск через специализированные сервисы вроде Shodan выявил более 8 тыс. систем, совместимых с ENIP и подключенных к интернету.

Чтобы вычленить из них уязвимые устройства, эксперты создали уникальный цифровой отпечаток для компонентов прошивки, созданных на основе SDK RTA, и провели сканирование. В итоге им удалось обнаружить 11 потенциально уязвимых устройств и шесть производителей, использующих ENIP-стек RTA. Затронутые провайдеры уже уведомлены о возможной проблеме.

Операторам подобных устройств рекомендуется по возможности обновить прошивки. Снизить риск эксплуатации помогут превентивные меры, рекомендованные ICS-CERT США:

  • Предельное ограничение сетевого доступа ко всем управляющим устройствам и системам, а также введение запрета на доступ к ним из интернета.
  • Организация защиты систем и сетей управления с помощью межсетевых экранов, а также путем изоляции их от бизнес-сети.
  • Использование надежных средств удаленного доступа вроде VPN и своевременное обновление этих инструментов.
  • Удаление, деактивация или переименование дефолтных системных аккаунтов.
  • Введение политик, диктующих использование только сильных паролей.
  • Мониторинг создания учетных записей администратора субподрядчиками.

Госдума приняла в первом чтении два закона об ответственности в сфере КИИ

Госдума приняла два закона, уточняющих составы уголовных преступлений и административных правонарушений, связанных с ненадлежащей эксплуатацией объектов критической информационной инфраструктуры (КИИ). В ряде случаев ответственность за такие нарушения смягчается. Законопроекты № 1071997-8 и № 1071966-8 были внесены в Госдуму в ноябре 2025 года группой депутатов.

Принятые нормативные акты уточняют положения статьи 274.1 Уголовного кодекса РФ, которая касается нарушения правил эксплуатации объектов КИИ.

Часть деяний авторы предлагают декриминализировать и отнести к административным правонарушениям. Основной мотив таких изменений — снизить риск оттока кадров из организаций, являющихся субъектами КИИ, где значительная доля сотрудников фактически выступает пользователями систем, подпадающих под жёсткое регулирование.

«Представляется обоснованным внесение изменений в части 2 и 3 статьи 274.1 УК РФ, уточняющих объективную сторону состава преступления в части определения общественно опасных последствий в форме уничтожения, блокирования, модификации либо копирования компьютерной информации, содержащейся в критической информационной инфраструктуре Российской Федерации, — говорится в пояснительной записке к законопроекту № 1071997-8. — Вместе с тем действующая редакция частей 2 и 3 статьи 274.1 УК РФ, в силу отсутствия определения вреда как признака состава преступления, не позволяет объективно оценивать его наличие либо отсутствие».

Как отмечают авторы, предлагаемые изменения основаны на анализе сложившейся судебной практики по статье 274.1 УК РФ. Она показывает, что суды, как правило, трактуют вред КИИ как копирование либо изменение информации в соответствующих системах.

В рамках законопроекта № 1071966-8 предлагается декриминализировать все нарушения правил эксплуатации КИИ, которые не привели к очевидному ущербу, и перевести их в разряд административных правонарушений.

Согласно статистике, собранной директором технического департамента RTM Group Фёдором Музалевским, около 10% дел по статье 274.1 УК РФ по итогам 2021 года были возбуждены из-за случайных или неосознанных действий без корыстного мотива. Кроме того, как показывают данные Судебного департамента за последние пять лет, реальные сроки лишения свободы по этой статье назначаются крайне редко и носят единичный характер.

RSS: Новости на портале Anti-Malware.ru