Sommario
Il software development kit (SDK) CODESYS V3 ha rivelato la presenza di 16 gravi vulnerabilità di sicurezza. Questi difetti potrebbero portare a esecuzioni di codice remoto e negazioni di servizio in determinate condizioni, mettendo a rischio gli ambienti di tecnologia operativa (OT).
Dettagli delle vulnerabilità
Queste vulnerabilità, identificate dai codici CVE-2022-47378 a CVE-2022-47393 e soprannominate “CoDe16”, hanno un punteggio CVSS di 8.8, ad eccezione di CVE-2022-47391 che ha un punteggio di 7.5. Dodici di questi difetti sono vulnerabilità di overflow del buffer. L’esperto di sicurezza Vladimir Tokarev della Microsoft Threat Intelligence Community ha evidenziato che l’exploit di queste vulnerabilità potrebbe mettere a rischio l’infrastruttura OT, esponendola a attacchi come esecuzione di codice remoto e negazione di servizio.
Implicazioni e rischi
Sebbene l’arma efficace di queste vulnerabilità richieda autenticazione dell’utente e una conoscenza approfondita del protocollo proprietario di CODESYS V3, i problemi potrebbero avere gravi impatti. Questi potrebbero includere arresti e manipolazioni malevoli di processi di automazione critici. In particolare, i bug di esecuzione di codice remoto potrebbero essere sfruttati per compromettere dispositivi OT e interferire con il funzionamento dei controller logici programmabili (PLC), aprendo la strada al furto di informazioni.
Soluzioni e misure preventive
Per superare la barriera dell’autenticazione dell’utente, viene utilizzata una vulnerabilità nota (CVE-2019-9013) per rubare le credenziali attraverso un attacco di replay contro il PLC. Successivamente, le vulnerabilità vengono sfruttate per innescare un overflow del buffer e prendere il controllo del dispositivo. Le patch per queste vulnerabilità sono state rilasciate nell’aprile 2023.
Implicazioni più ampie
Dato che CODESYS è utilizzato da molti fornitori, una singola vulnerabilità potrebbe influenzare molti settori, tipi di dispositivi e verticali. Gli attori delle minacce potrebbero lanciare un attacco DoS contro un dispositivo che utilizza una versione vulnerabile di CODESYS per interrompere le operazioni industriali o sfruttare le vulnerabilità RCE per implementare un backdoor, rubare dati sensibili, manipolare le operazioni o costringere un PLC a funzionare in modo pericoloso.
