Lỗi kiểm tra đầu vào của Siemens User Management Component gây từ chối dịch vụ qua mạng

Một lỗ hổng đã được xác định trong Opcenter Execution Foundation (Tất cả phiên bản < V2407), Opcenter Quality (Tất cả phiên bản < V2312), SIMATIC PCS neo (Tất cả phiên bản < V4.1), SINEC NMS (Tất cả phiên bản < V2.0 SP1), Totally Integrated Automation Portal (TIA Portal) V14 (Tất cả phiên bản), Totally Integrated Automation Portal (TIA Portal) V15.1 (Tất cả phiên bản), Totally Integrated Automation Portal (TIA Portal) V16 (Tất cả phiên bản), Totally Integrated Automation Portal (TIA Portal) V17 (Tất cả phiên bản < V17 Update 8), Totally Integrated Automation Portal (TIA Portal) V18 (Tất cả phiên bản < V18 Update 3). Ứng dụng bị ảnh hưởng chứa một lỗ hổng kiểm tra đầu vào không phù hợp, có thể cho phép kẻ tấn công đưa dịch vụ vào trạng thái từ chối dịch vụ bằng cách gửi một thông báo được tạo đặc biệt tới 4004/tcp. Dịch vụ tương ứng sẽ được tự động khởi động lại sau khi watchdog phát hiện sự cố crash.

• Opcenter Execution Foundation: Tất cả phiên bản thấp hơn V2407 bị ảnh hưởng. Siemens hướng dẫn cập nhật lên V2407 hoặc phiên bản mới hơn.
• Opcenter Quality: Tất cả phiên bản thấp hơn V2312 bị ảnh hưởng. Siemens hướng dẫn cập nhật lên V2312 hoặc phiên bản mới hơn.
• SIMATIC PCS neo: Tất cả phiên bản thấp hơn V4.1 bị ảnh hưởng. Siemens hướng dẫn cập nhật lên V4.1 hoặc phiên bản mới hơn.
• SINEC NMS: Tất cả phiên bản thấp hơn V2.0 SP1 bị ảnh hưởng. Siemens hướng dẫn cập nhật lên V2.0 SP1 hoặc phiên bản mới hơn.
• Totally Integrated Automation Portal (TIA Portal) V14: Tất cả phiên bản bị ảnh hưởng; Siemens cho biết hiện không có kế hoạch sửa lỗi.
• Totally Integrated Automation Portal (TIA Portal) V15.1: Tất cả phiên bản bị ảnh hưởng; Siemens cho biết hiện không có kế hoạch sửa lỗi.
• Totally Integrated Automation Portal (TIA Portal) V16: Tất cả phiên bản bị ảnh hưởng; lịch sử advisory nêu rõ Siemens không còn kế hoạch phát hành bản sửa lỗi cho nhánh này.
• Totally Integrated Automation Portal (TIA Portal) V17: Tất cả phiên bản thấp hơn V17 Update 8 bị ảnh hưởng. Siemens hướng dẫn cập nhật lên V17 Update 8 hoặc phiên bản mới hơn.
• Totally Integrated Automation Portal (TIA Portal) V18: Tất cả phiên bản thấp hơn V18 Update 3 bị ảnh hưởng. Siemens hướng dẫn cập nhật lên V18 Update 3 hoặc phiên bản mới hơn.

Lỗ hổng nằm trong cơ chế kiểm tra đầu vào của Siemens User Management Component (UMC), thành phần được tích hợp trong các sản phẩm tự động hóa bị ảnh hưởng. Dữ liệu do kẻ tấn công kiểm soát là một thông báo được tạo đặc biệt gửi tới cổng 4004/tcp. Các thuộc tính tấn công trong bản ghi cho thấy dịch vụ có thể bị truy cập qua mạng mà không cần xác thực hoặc tương tác của người dùng. Khi xử lý thông báo này, ứng dụng có thể chuyển sang trạng thái từ chối dịch vụ; advisory không xác nhận đây là lỗi ghi đè bộ nhớ hoặc cho phép thực thi mã. Watchdog phát hiện sự cố và tự động khởi động lại dịch vụ tương ứng sau khi dịch vụ bị crash. Định dạng thông báo, quy tắc kiểm tra cụ thể và chi tiết parser gây ra lỗi chưa được Siemens công bố trong bằng chứng hiện có.

• Khả năng tiếp cận: Lỗ hổng có thể bị kích hoạt qua mạng bằng cách gửi thông báo tới 4004/tcp trên hệ thống có dịch vụ tương ứng đang hoạt động.
• Điều kiện: Bản ghi mô tả việc khai thác không cần xác thực, không cần người dùng tương tác và không yêu cầu điều kiện phức tạp.
• Kết quả: Thông báo được tạo đặc biệt có thể làm dịch vụ rơi vào trạng thái từ chối dịch vụ. Watchdog sau đó có thể tự động khởi động lại dịch vụ.
• Tình trạng khai thác: Bản ghi được cung cấp đánh dấu không có public exploit, còn advisory của Siemens không nêu việc khai thác thực tế hoặc một tác nhân cụ thể. Bằng chứng hiện có không đủ để kết luận rằng lỗ hổng chưa từng bị khai thác.

Tác động kỹ thuật chính là làm mất tính sẵn sàng của dịch vụ UMC hoặc dịch vụ liên quan khi ứng dụng xử lý thông báo được tạo đặc biệt. Dữ liệu hiện có không cho thấy tác động đến tính bí mật hoặc tính toàn vẹn, cũng không xác nhận khả năng thực thi mã hay nâng quyền. Cơ chế watchdog có thể khởi động lại dịch vụ sau crash, nên một lần gián đoạn có thể có thời lượng giới hạn. Tuy nhiên, nếu endpoint vẫn có thể tiếp cận, việc gửi lại thông báo có thể gây gián đoạn lặp lại; đây là suy luận hợp lý từ cơ chế crash và auto-restart, không phải hành vi được advisory mô tả trực tiếp.

• Gián đoạn vận hành: Một thông báo độc hại có thể làm dịch vụ UMC chuyển sang trạng thái từ chối dịch vụ, ảnh hưởng đến các chức năng phụ thuộc vào quản lý người dùng hoặc dịch vụ tích hợp.
• Phạm vi ảnh hưởng: Hệ thống sản xuất, quản lý chất lượng, quản lý mạng và kỹ thuật tự động hóa sử dụng các sản phẩm Siemens liên quan có thể bị gián đoạn khi dịch vụ trên 4004/tcp bị tác động.
• Khả năng phục hồi: Watchdog tự động khởi động lại dịch vụ sau khi phát hiện crash, có thể làm giảm thời gian gián đoạn của một lần sự cố nhưng không bảo đảm dịch vụ luôn sẵn sàng.
• Giới hạn tác động: Bằng chứng hiện có chỉ xác nhận tác động đến tính sẵn sàng. Không có bằng chứng cho thấy lỗ hổng này tự nó làm lộ dữ liệu, thay đổi dữ liệu hoặc nâng quyền.

1. Cập nhật theo đúng nhánh sản phẩm: Nâng cấp Opcenter Execution Foundation lên V2407 hoặc phiên bản mới hơn; Opcenter Quality lên V2312 hoặc phiên bản mới hơn; SIMATIC PCS neo lên V4.1 hoặc phiên bản mới hơn; và SINEC NMS lên V2.0 SP1 hoặc phiên bản mới hơn.
2. Cập nhật TIA Portal: Đối với nhánh V17, nâng cấp lên V17 Update 8 hoặc phiên bản mới hơn. Đối với nhánh V18, nâng cấp lên V18 Update 3 hoặc phiên bản mới hơn.
3. Xử lý các nhánh chưa có kế hoạch sửa lỗi: Với TIA Portal V14, V15.1 và V16, Siemens hiện không nêu bản sửa lỗi tương ứng. Áp dụng biện pháp giảm thiểu mạng thay vì tự suy đoán một phiên bản khắc phục.
4. Giới hạn cổng dịch vụ: Nếu triển khai chỉ có một RT server, chặn truy cập tới 4004/tcp bằng firewall bên ngoài. Nếu triển khai không có RT server, chặn cổng này bằng firewall cục bộ.
5. Giảm phạm vi mạng: Bảo vệ quyền truy cập mạng tới các thiết bị bằng cơ chế phù hợp, cấu hình môi trường theo hướng dẫn vận hành Industrial Security của Siemens và tuân thủ khuyến nghị trong tài liệu sản phẩm.
6. Sau khi cập nhật hoặc áp dụng biện pháp giảm thiểu, xác minh lại các listener, firewall rule và đường đi mạng tới 4004/tcp.

1. Kiểm kê các hệ thống Siemens đang sử dụng UMC, Opcenter Execution Foundation, Opcenter Quality, SIMATIC PCS neo, SINEC NMS hoặc TIA Portal, sau đó ghi nhận phiên bản chính xác của từng hệ thống để đối chiếu với các nhánh bị ảnh hưởng và bản sửa lỗi của Siemens.
2. Xác định các máy chủ đang lắng nghe hoặc cho phép truy cập 4004/tcp, đặc biệt là các RT server, và kiểm tra phạm vi mạng có thể gửi lưu lượng tới cổng này.
3. Rà soát firewall bên ngoài và firewall cục bộ để xác nhận cổng 4004/tcp chỉ được mở khi cần thiết và không thể truy cập từ các vùng mạng không tin cậy hoặc không cần thiết.
4. Kiểm tra nhật ký của dịch vụ, watchdog và hệ thống giám sát để tìm các lần crash hoặc tự động khởi động lại trùng với lưu lượng đến 4004/tcp. Đây là dấu hiệu phù hợp với tác động được mô tả, không phải IOC đã được Siemens xác nhận.
5. Advisory không cung cấp chữ ký của thông báo độc hại, định dạng gói tin hoặc IOC cụ thể. Việc không thấy sự kiện trong nhật ký không chứng minh hệ thống an toàn.