Xác minh không đầy đủ tính xác thực firmware trong sản phẩm Schneider Electric SAGE RTU có thể dẫn đến kiểm soát thiết bị

Lỗ hổng CWE-345: Xác minh không đầy đủ tính xác thực của dữ liệu tồn tại, có thể cho phép tải lên firmware đã bị sửa đổi khi người dùng quản trị được ủy quyền bắt đầu quy trình cập nhật firmware, từ đó có thể dẫn đến quyền kiểm soát thiết bị.

Schneider Electric xác định các sản phẩm sau bị ảnh hưởng:

• Sage RTU 1410: tất cả phiên bản trước C3414-500-S02L0.
• Sage RTU 1430: tất cả phiên bản trước C3414-500-S02L0.
• Sage RTU 1450: tất cả phiên bản trước C3414-500-S02L0.
• Sage RTU 2400: tất cả phiên bản trước C3414-500-S02L0.
• Sage RTU 3030 Magnum: tất cả phiên bản trước C3414-500-S02L0.
• Sage RTU 4400: tất cả phiên bản trước C3414-500-S02L0.

Tư vấn của nhà cung cấp xác định C3414-500-S02L0 là phiên bản có bản sửa lỗi cho cả sáu sản phẩm. Không có ranh giới nhánh phát hành nào khác được nêu trong bằng chứng đã rà soát, vì vậy không nên tự suy diễn trạng thái của các nhánh song song hoặc các phiên bản khác ngoài tuyên bố chính xác này.

Đây là lỗi CWE-345, trong đó firmware không được xác minh đầy đủ về tính xác thực trước khi được chấp nhận. Trong quy trình cập nhật firmware, một firmware đã bị sửa đổi có thể được tải lên khi người dùng quản trị được ủy quyền khởi động quy trình. Đặc tính tấn công trong bản ghi cho biết thiết bị có thể được tiếp cận qua mạng, độ phức tạp thấp, yêu cầu đặc quyền cao và không cần thêm tương tác người dùng sau khi đã có quyền quản trị cần thiết. Lỗ hổng áp dụng cho sáu mẫu SAGE RTU được nêu trong tư vấn, nhưng tư vấn không xác định cơ chế chữ ký, hash, chứng chỉ hoặc kiểm tra tính hợp lệ của gói firmware bị thiếu hoặc bị vượt qua. Tài liệu cũng không nêu endpoint, giao thức, định dạng tệp hoặc payload cụ thể.

• Lỗ hổng có thể được tiếp cận qua mạng và yêu cầu quyền quản trị cao trên thiết bị hoặc giao diện cập nhật.
• Bản ghi mô tả độ phức tạp tấn công thấp và không cần tương tác người dùng bổ sung sau khi người quản trị được ủy quyền bắt đầu quy trình cập nhật.
• Bản ghi được cung cấp không xác định một đường khai thác cục bộ hoặc đường khai thác với đặc quyền thấp hơn.
• Trạng thái bản ghi hiện không xác định khai thác công khai và dữ liệu tư vấn được rà soát ghi nhận exploitation là none. Đây là trạng thái báo cáo hiện tại, không phải bằng chứng rằng lỗ hổng chưa từng bị lạm dụng.

Một tác nhân đáp ứng được yêu cầu về đặc quyền quản trị và tiếp cận được chức năng cập nhật có thể khiến RTU chấp nhận firmware đã bị sửa đổi. Hậu quả kỹ thuật trực tiếp là firmware và hành vi thiết bị có thể bị thay đổi, với tư vấn mô tả khả năng dẫn đến quyền kiểm soát thiết bị. Đối với thiết bị thu thập dữ liệu và điều khiển trạm biến áp, thay đổi này có thể làm gián đoạn hoặc làm sai lệch chức năng vận hành, nhưng bản ghi không nêu một quy trình cụ thể, ảnh hưởng an toàn cụ thể hoặc việc xâm phạm các hệ thống kết nối. Khả năng khai thác vẫn phụ thuộc vào quyền quản trị được ủy quyền và quy trình cập nhật firmware.

• Toàn vẹn thiết bị: Firmware độc hại có thể làm thay đổi hành vi của RTU sau khi được chấp nhận trong quy trình nâng cấp.
• Rủi ro vận hành: SAGE RTU được dùng cho thu thập dữ liệu và điều khiển trạm biến áp, vì vậy hành vi bị thay đổi có thể ảnh hưởng đến tính toàn vẹn hoặc tính sẵn sàng của các chức năng vận hành. Đây là hậu quả có thể xảy ra, không phải sự cố được tư vấn xác nhận.
• Rủi ro quyền kiểm soát: Khai thác thành công có thể dẫn đến quyền kiểm soát thiết bị bị ảnh hưởng, nhưng bản ghi không xác lập quyền truy cập vào các hệ thống kết nối hoặc một vụ xâm nhập rộng hơn.
• Ảnh hưởng bảo trì: Bản vá yêu cầu khởi động lại thiết bị, do đó cần lập kế hoạch và kiểm thử trước khi triển khai.

1. Nâng cấp từng mẫu bị ảnh hưởng lên phiên bản có bản sửa lỗi C3414-500-S02L0. Đây là khuyến nghị cho phiên bản cụ thể được nhà cung cấp xác nhận, không phải suy luận rằng mọi nhánh phát hành sau đó đều được bao phủ.
2. Lập kế hoạch cho việc khởi động lại bắt buộc. Sao lưu thiết bị và đánh giá bản vá trong môi trường Test and Development hoặc trên hạ tầng ngoại tuyến trước khi áp dụng vào hệ thống vận hành.
3. Sau khi nâng cấp, mở trang cấu hình CPU để xác minh số phiên bản firmware hiển thị chính xác.
4. Trong thời gian chưa nâng cấp, giảm khả năng tiếp cận bằng cách đặt mạng điều khiển và thiết bị remote phía sau firewall, cô lập khỏi mạng doanh nghiệp, đồng thời bảo đảm RTU không thể truy cập trực tiếp từ Internet.
5. Khi cần remote access, sử dụng phương thức an toàn như VPN được cập nhật phù hợp. Duy trì kiểm soát vật lý, đặt bộ điều khiển trong tủ khóa, không để bộ điều khiển ở chế độ Program, chỉ kết nối phần mềm lập trình với mạng dành cho thiết bị và quét các phương tiện trao đổi dữ liệu trước khi sử dụng trong mạng cô lập.

1. Kiểm kê các thiết bị Schneider Electric SAGE RTU 1410, SAGE RTU 1430, SAGE RTU 1450, SAGE RTU 2400, SAGE RTU 3030 Magnum và SAGE RTU 4400, đồng thời ghi nhận chính xác phiên bản firmware đang chạy.
2. Đánh dấu các thiết bị đang chạy phiên bản thuộc phạm vi bị ảnh hưởng được nêu trong affected_summary.
3. Với thiết bị đã nâng cấp, mở trang cấu hình CPU và xác nhận số phiên bản firmware hiển thị đúng với phiên bản đã triển khai.
4. Rà soát hoạt động cập nhật firmware và việc sử dụng tài khoản quản trị quanh các lần nâng cấp; điều tra mọi thay đổi bất thường trong hành vi thiết bị. Đây là biện pháp kiểm tra thận trọng, vì tư vấn không nêu log event hoặc IOC cụ thể.
5. Kiểm tra đường tiếp cận mạng của RTU, đặc biệt là khả năng truy cập từ Internet, kết nối từ mạng doanh nghiệp và các kênh remote access. Việc không thấy bằng chứng trong log không chứng minh thiết bị an toàn.