Ekoparty es el evento anual de seguridad informática que, por sus características únicas y su particular estilo, se ha convertido en un referente para toda Latinoamérica.

Permite a consultores, oficiales de seguridad, investigadores, programadores, técnicos, administradores de sistemas, nerds, curiosos y entusiastas de la tecnología, reunirse y disfrutar de los descubrimientos más importantes en el ámbito de la seguridad informática.

27, 28 y 29 de septiembre, Centro Cultural Konex, Buenos Aires, Argentina.

15 abr. 2017

Evasión de autenticación en PLC Modicon TM221CE16R de Schneider Electric

Los investigadores de seguridad Simon Heming, Maik Brüggemann, Hendrik Schwartke y Ralf Spenneberg han descubierto una vulnerabilidad que permite a atacantes con conexión al dispositivo afectado, obtener contraseñas sin cifrar tras el envío de una petición.

Fecha de publicación: 07/04/2017
Importancia: 5 - Crítica
Recursos afectados: Schneider Modicon TM221CE16R, firmware versión 1.3.3.3

La función "Application Protection" es usada para prevenir la transferencia de la aplicación desde el controlador lógico al software SoMachine Basic. Un comando específicamente formado puede ser enviado vía Modbus TCP por el puerto 502 al controlador lógico y este devolverá la contraseña sin cifrar.

¿Solución?

El fabricante no ha publicado ninguna solución para mitigar la vulnerabilidad por lo que se aconseja seguir las siguientes recomendaciones:
  • Asegurarse que los puertos no usados están cerrados.
  • Asegurarse que se siguen buenas prácticas en el diseño de redes, que incluya separación y segmentación de redes.
  • Usar DMZ y contafuegos adecuadamente configurados para controlar y monitorizar el trafico entre diferentes zonas.
  • Minimizar la exposición de al red para todos los sistemas y dispositivos de los sistemas de control y asegurarse que no son accesibles desde internet.
  • Posicionar las redes y los dispositivos remotos de los sistemas de control detrás de cortafuegos, y aislarlos de la red corporativa.
  • Cuando el acceso remoto es requerido, utilizar métodos seguros, como VPN, reconociendo que dichas VPN pueden tener vulnerabilidades y deberían estar actualizadas a la última versión disponible. Reconocer también que la VPN es tan segura como los dispositivos que conecta.
Tras la obtención de la contraseña un atacante puede acceder a la aplicación SoMachine Basic para descargar, modificar y posteriormente cargar de nuevo cualquier aplicación.

Se ha publicado el identificador CVE-2017-7575 para esta vulnerabilidad.

Fuente: CERTSI.es | OS-S Security Advisory 2017-01

0 comentarios:

Publicar un comentario

Gracias por dejar un comentario en Segu-Info
Si vas a dejar una consulta, procura tener habilitado tu perfil en Blogger o deja una forma de contacto.

Gracias por comentar!