Siemens parchó recientemente numerosas vulnerabilidades que afectaban a su dispositivo de automatización A8000. Las vulnerabilidades incluso incluían una falla de ejecución de código de gravedad crítica que podría permitir ataques remotos de un adversario no autenticado.
Vulnerabilidades de los dispositivos de automatización de Siemens
Los investigadores de SEC Consult compartieron un aviso detallado que destaca numerosas vulnerabilidades que encontraron en el dispositivo automático Siemens A8000.
Siemens A8000 es un dispositivo modular de telecontrol y automatización para áreas de suministro de energía, compatible con una amplia gama de aplicaciones. El dispositivo facilita la optimización de la red al tiempo que satisface las necesidades de ciberseguridad, comunicación e ingeniería.
Esta aplicación generalizada de este dispositivo indica cómo una vulnerabilidad de seguridad, si se explota, puede amenazar la fuente de alimentación con un efecto en cascada.
Los investigadores de SEC Consult descubrieron cuatro vulnerabilidades diferentes que afectan a los PLC (controladores lógicos programables) Siemens A8000 CP-8050 y CP-8031.
El primero de ellos es una falla de ejecución remota de código de gravedad crítica CVE-2023-28489 (CVSS 9.8). Un atacante no autenticado puede explotar la falla enviando solicitudes HTTP malintencionadas al puerto 80/443 del PLC.
Luego, la otra vulnerabilidad importante es una falla de inyección de comando de alta gravedad (CVE-2023-33919; CVSS 7.2) que existía debido a la desinfección de entrada del lado del servidor. Un adversario autenticado podría ejecutar comandos arbitrarios en el PLC de destino con privilegios de raíz.
Las otras dos vulnerabilidades son problemas de gravedad media, cada una con una puntuación CVSS de 6,8. Estos incluyen CVE-2023-33920, que existía debido a una contraseña raíz codificada, y CVE-2023-33921, que expuso la interfaz UART a un atacante con acceso físico a la PCB. Un adversario puede encadenar CVE-2023-33920 y CVE-2023-33921 para obtener acceso de root a la interfaz UART.
Siemens lanzó parches con actualizaciones de firmware
Los investigadores encontraron estas vulnerabilidades que afectan a Siemens A8000 CP-8050 04.92 y Siemens A8000 CP-8031 04.92. Después de descubrir las fallas en marzo de 2023, los investigadores informaron responsablemente las fallas a Siemens, luego de lo cual los proveedores comenzaron a trabajar en una solución.
Dada la naturaleza crítica de CVE-2023-28489, los investigadores y proveedores acordaron buscar su divulgación y solucionar el problema en abril de 2023. Luego, Siemens publicó las correcciones para las otras tres vulnerabilidades en junio. Y finalmente, SEC Consult compartió públicamente los detalles y PoC de los cuatro defectos en su notificación.
Para recibir los parches, los usuarios deben asegurarse de actualizar los dispositivos a CPCI85 V05 o posterior.
Háganos saber sus pensamientos en los comentarios.
