В контроллерах OMRON нашли и устранили опасную уязвимость

В контроллерах OMRON нашли и устранили опасную уязвимость

В контроллерах OMRON нашли и устранили опасную уязвимость

Прошивку контроллеров OMRON лучшее обновить. Эксперты Positive Technologies обнаружили в устройствах уязвимость CVE-2023-22357. Кибератака могла привести к отказу в обслуживании или выполнению произвольного кода.

Уязвимость в контроллере OMRON CP1L-EL20DR-D обнаружил эксперт Positive Technologies Георгий Кигурадзе, рассказали в пресс-службе разработчика.

Брешь CVE-2023-22357 получила 9,1 балла по шкале CVSS v3. Это означает критический уровень опасности.

Эксплуатация уязвимости позволяла без аутентификации считывать и менять произвольную область памяти контроллера. Такие манипуляции могли привести к перезаписи прошивки, отказу в обслуживании или выполнению произвольного кода.

Контроллеры OMRON применяют для управления конвейерами и станками, телемеханикой трубопроводных узлов на ГРЭС, микроклиматом на фермах, системами контроля качества продукции, автоматическими машинами упаковки и в других сферах.

Ошибка связана с наличием недокументированных команд в коммуникационном протоколе FINS, уточнили в Positive Technologies. Такие команды применяются для отладки программного обеспечения ПЛК.

Используя фирменное или собственное ПО и недостатки в протоколе FINS, злоумышленники могли повлиять на работу оборудования: внести изменения в выполняемые алгоритмы, загрузить вредоносную прошивку, изменить значения переменных, принудительно выставить недопустимые значения на выходах модулей в обход алгоритмов блокировки.

“В случае целенаправленной кибератаки эксплуатация этой уязвимости привела бы к остановке технологического процесса или к выходу оборудования из строя”, — объясняет руководитель отдела безопасности промышленных систем управления Positive Technologies Владимир Назаров.

Такие уязвимости лучше всего “ловятся” на киберучениях, добавляет Назаров. Становится ясно, к чему может привести атака в аналогичной инфраструктуре.

Сообщается, что производитель уже устранил уязвимость. Пользователям рекомендуют обновить прошивку устройств и включить расширенную защиту паролем (функция Extend protection password).

Правда ли MAX нельзя отвязать от Госуслуг: что показала проверка

В соцсетях разошлась тревожная информация о том, что если привязать мессенджер MAX к аккаунту на «Госуслугах», то потом вернуть обычное подтверждение входа по СМС уже не получится. Но, судя по доступным данным, это не так.

Источником обсуждения стал личный пост одного из пользователей, который рассказал о собственном опыте.

При этом сам автор не утверждал, что смена способа входа невозможна для всех. Более того, основной смысл его публикации вообще был в другом: он советовал установить дополнительный пароль в мессенджере. Но в соцсетях из этого текста выдернули одну фразу и превратили её в громкое утверждение.

Соответствующая инструкция показывает, что сменить способ подтверждения входа всё же можно. Для этого нужно зайти в профиль, открыть раздел «Вход в систему» и выбрать другой удобный вариант верификации.

Если MAX уже подключён, в настройках это отображается отдельно: система показывает, что вход осуществляется по паролю и одноразовому коду из мессенджера. После этого пользователь может выбрать другой способ подтверждения личности — например, СМС, одноразовый код TOTP или биометрию.

Дальше всё стандартно: нужно нажать кнопку продолжения, подтвердить решение о смене способа входа, получить код в СМС на привязанный номер телефона и ввести его в соответствующее поле. После этого вход снова будет работать по привычной схеме.

Иначе говоря, история о том, что после привязки MAX от него уже нельзя отказаться, пока не подтверждается. Похоже, в этот раз речь идёт скорее о типичном преувеличении, чем о реальной проблеме сервиса.

RSS: Новости на портале Anti-Malware.ru