Lỗi dereference con trỏ NULL gây từ chối dịch vụ trên thiết bị công nghiệp Siemens

Các thiết bị bị ảnh hưởng chứa lỗ hổng dereference con trỏ NULL khi xử lý các yêu cầu IPv4 được tạo đặc biệt. Điều này có thể cho phép kẻ tấn công gây ra tình trạng từ chối dịch vụ. Cần khởi động lại thủ công để khôi phục hệ thống.

Advisory Siemens xác định phạm vi bị ảnh hưởng rộng hơn danh sách sản phẩm ban đầu trong bản ghi chuẩn hóa. Các nhánh đã được xác nhận gồm:

• IE/PB LINK HA: tất cả phiên bản thấp hơn V4.1.2 bị ảnh hưởng; Siemens chỉ định cập nhật lên V4.1.2 hoặc phiên bản mới hơn. • IE/PB link PN IO và biến thể SIPLUS NET IE/PB link PN IO: tất cả phiên bản bị ảnh hưởng; advisory nêu hiện chưa có kế hoạch sửa lỗi. • Các dòng SCALANCE M-800, SCALANCE MUM-800, SCALANCE S615 và RUGGEDCOM RM1224, bao gồm các model được bản ghi liệt kê như M804PB, M812-1, M816-1, M826-2, M874-2, M874-3, M876-3, M876-4, MUB852-1, MUM853-1 và MUM856-1: tất cả phiên bản thấp hơn V8.3 bị ảnh hưởng. • Advisory cũng liệt kê các dòng bổ sung như SCALANCE W, SCALANCE SC, SCALANCE X, SCALANCE XR, SCALANCE XM, SIMATIC CFU, SIMATIC ET 200, các dòng CPU SIMATIC S7, SIMIT, SINAMICS, SINUMERIK và SITOP. Một số nhánh có ranh giới sửa lỗi rõ ràng gồm các model SCALANCE WAM và SCALANCE WUM thấp hơn V3.2.0, các model SCALANCE W7xx thấp hơn V6.6.0, SIMATIC CFU thấp hơn V2.0.0, SIMATIC ET 200SP HA thấp hơn V1.3, SIMATIC S7-410 V8 thấp hơn V8.3 và SIMATIC S7-410 V10 thấp hơn V10.2. • Nhiều switch, controller, drive, nền tảng mô phỏng và thiết bị nguồn khác được advisory đánh dấu là tất cả phiên bản bị ảnh hưởng, trong đó hiện chưa có bản sửa lỗi hoặc chưa có kế hoạch sửa lỗi. Trạng thái phải được xác định theo đúng model và mã sản phẩm; không nên suy luận trạng thái của các nhánh chưa được liệt kê.

Thiết bị công nghiệp Siemens bị lỗi NULL pointer dereference trong quá trình xử lý các yêu cầu IPv4 được tạo đặc biệt. Dữ liệu đầu vào do kẻ tấn công kiểm soát có thể đi tới đường xử lý mạng này và làm thiết bị rơi vào tình trạng từ chối dịch vụ. Đánh giá kỹ thuật cho thấy việc khai thác có thể thực hiện qua mạng, không cần xác thực hoặc tương tác của người dùng, với độ phức tạp thấp. Chi tiết về con trỏ bị dereference, định dạng chính xác của gói tin, dịch vụ hoặc cổng mạng liên quan không được công bố. Phạm vi sản phẩm bao gồm các gateway, router, switch, bộ điều khiển tự động hóa, thiết bị drive, thiết bị I/O và các thiết bị công nghiệp khác được Siemens liệt kê trong advisory.

Lỗi có thể bị tác động từ xa qua mạng IPv4. Theo các thuộc tính tấn công trong hồ sơ, kẻ tấn công không cần tài khoản, quyền đặc biệt hoặc tương tác của người dùng, và không cần điều kiện phức tạp được biết đến. Bản ghi chuẩn hóa đánh dấu chưa có public exploit; dữ liệu SSVC của CISA được trả về trong nguồn NVD ghi nhận trạng thái khai thác là none tại thời điểm được ghi nhận. Đây là thông tin có giới hạn về thời điểm và không chứng minh rằng việc khai thác chưa từng xảy ra ở mọi môi trường. Không có mã khai thác, chiến dịch, nạn nhân hoặc chỉ báo xâm nhập cụ thể nào được xác định trong bằng chứng hiện có.

Lỗi có thể làm thiết bị mất khả dụng khi nhận yêu cầu IPv4 được tạo đặc biệt, dẫn đến từ chối dịch vụ cho các chức năng mà thiết bị đang cung cấp. Việc khôi phục yêu cầu khởi động lại thủ công, nên sự cố có thể kéo dài hơn một lần gián đoạn mạng thông thường. Vì đường tấn công có thể đi qua mạng và không yêu cầu xác thực, các thiết bị có giao diện IPv4 reachable từ vùng mạng không tin cậy có rủi ro vận hành cao hơn. Với thiết bị tham gia điều khiển hoặc truyền thông công nghiệp, tác động có thể lan sang các hệ thống phụ thuộc vào thiết bị, nhưng mức độ lan truyền phụ thuộc vào thiết kế mạng và khả năng dự phòng. Hồ sơ hiện không cho thấy khả năng đọc dữ liệu, sửa đổi dữ liệu, chiếm quyền đặc biệt hoặc thực thi mã.

• Thiết bị bị tác động có thể ngừng cung cấp dịch vụ mạng hoặc chức năng truyền thông cho đến khi được khởi động lại thủ công. • Với thiết bị làm router, switch, gateway, bộ điều khiển hoặc giao diện I/O công nghiệp, sự cố có thể làm gián đoạn liên lạc giữa PLC, HMI, thiết bị trường và các hệ thống điều khiển, tùy thuộc vào kiến trúc dự phòng. • Việc khôi phục thủ công có thể yêu cầu can thiệp tại hiện trường và tạo thời gian gián đoạn vận hành. • Bản ghi mô tả tác động về tính sẵn sàng; không có bằng chứng trong hồ sơ cho thấy lỗi này trực tiếp làm lộ dữ liệu hoặc sửa đổi dữ liệu. • Mức độ ảnh hưởng thực tế phụ thuộc vào vai trò của model, khả năng tiếp cận IPv4 từ mạng bên ngoài và việc hệ thống có cơ chế dự phòng hay không.

1. Với các nhánh đã có bản sửa lỗi, nâng cấp từng model lên đúng phiên bản được Siemens chỉ định: V4.1.2 cho IE/PB LINK HA; V8.3 cho các nhánh SCALANCE M-800, SCALANCE MUM-800, SCALANCE S615 và RUGGEDCOM RM1224; V3.2.0 cho các model SCALANCE WAM hoặc WUM được liệt kê; V6.6.0 cho các model SCALANCE W7xx được liệt kê; V2.0.0 cho các model SIMATIC CFU; V1.3 cho SIMATIC ET 200SP HA; V8.3 cho SIMATIC S7-410 V8; và V10.2 cho SIMATIC S7-410 V10.
2. Không áp dụng một phiên bản sửa lỗi của một dòng sản phẩm cho các dòng song song nếu advisory không xác nhận. Các sản phẩm được đánh dấu tất cả phiên bản bị ảnh hưởng nhưng chưa có bản sửa lỗi vẫn phải được xử lý theo trạng thái model cụ thể.
3. Đối với sản phẩm chưa có bản sửa lỗi hoặc chưa có kế hoạch sửa lỗi, hạn chế quyền truy cập vào thiết bị chỉ từ các địa chỉ IP tin cậy và đặt thiết bị trong vùng mạng được bảo vệ.
4. Với các dòng CPU SIMATIC S7-400 được Siemens nêu cụ thể, vô hiệu hóa các cổng Ethernet trên CPU và sử dụng module truyền thông, chẳng hạn module CP, cho nhu cầu liên lạc. Siemens cũng nêu biện pháp này cho các dòng SIMATIC S7-410 trong trường hợp cần giảm thiểu.
5. Lập kế hoạch khởi động lại thủ công trong cửa sổ bảo trì để xử lý thiết bị đã mất khả dụng. Khởi động lại chỉ là biện pháp khôi phục sau sự cố, không thay thế cho cập nhật firmware hoặc biện pháp giảm thiểu mạng.

1. Kiểm kê các thiết bị Siemens thuộc các dòng IE/PB LINK, SCALANCE, RUGGEDCOM, SIMATIC, SINAMICS, SINUMERIK, SITOP và các dòng liên quan, đồng thời ghi nhận model, mã sản phẩm và firmware đang chạy.
2. Đối chiếu từng model và firmware với các nhánh bị ảnh hưởng trong advisory Siemens. Không suy luận rằng một model khác đã an toàn chỉ vì một nhánh sản phẩm đã có bản sửa lỗi.
3. Xác định các thiết bị có giao diện IPv4 reachable từ mạng không tin cậy hoặc từ các vùng mạng không cần thiết, sau đó kiểm tra ACL và giới hạn nguồn truy cập.
4. Rà soát sự kiện mất khả dụng, gián đoạn truyền thông hoặc yêu cầu khởi động lại thủ công xảy ra sau lưu lượng IPv4 bất thường. Đây là biện pháp phát hiện thận trọng, không phải một IOC đã được Siemens xác nhận.
5. Sau khi cập nhật hoặc áp dụng biện pháp giảm thiểu, xác minh lại firmware, trạng thái quản trị và khả năng truyền thông của thiết bị. Không có mẫu log hoặc chữ ký gói tin cụ thể được công bố để xác nhận việc khai thác.