Falhas Críticas nos Produtos Kepware Podem Facilitar Ataques em Indústrias

Várias vulnerabilidades críticas foram encontradas por pesquisadores em produtos da empresa de soluções de automação industrial Kepware, de propriedade da PTC.

A Agência de Segurança Cibernética e Infraestrutura (Cybersecurity and Infrastructure Security Agency – CISA) dos EUA publicou na semana passada dois advisories descrevendo vulnerabilidades identificadas em produtos Kepware.

Um dos advisories abrange três falhas descobertas por pesquisadores da empresa de cibersegurança de sistemas industriais Claroty. As falhas de segurança, duas classificadas como críticas e uma de alta gravidade, são descritas como um estouro de buffer baseado em pilha (stack-based buffer overflow), um estouro de buffer baseado em heap (heap-based buffer overflow) e uma falha do tipo use-after-free (UAF).

As vulnerabilidades críticas podem ser exploradas para derrubar um servidor, vazar dados e executar remotamente um código arbitrário ao abrir uma mensagem OPC UA especialmente criada. De acordo com a CISA, o bug de alta gravidade pode permitir que um invasor derrube um servidor criando e encerrando conexões OPC UA a uma alta taxa.

“As vulnerabilidades foram localizadas nos produtos OPC KEPServerEX, ThingWorx e OPC-Aggregator,” disse Uri Katz, pesquisador sênior da Claroty, à SecurityWeek. “Para explorar essas vulnerabilidades, os invasores precisariam ter acesso por rede ao servidor OPC. Os servidores OPC são uma parte central em muitas redes de TO, o que os torna um alvo lucrativo para atacantes.”

Katz acrescenta, “Em nossa pesquisa, conseguimos mostrar que essas vulnerabilidades podem ser exploradas remotamente sem qualquer necessidade de autenticação e que a exploração bem-sucedida dessas vulnerabilidades pode levar a uma falha de servidor, uma condição de negação de serviço, vazamento de dados ou execução remota de código.”

A CISA observou que os produtos da Rockwell Automation, GE Digital e Software Toolbox também usam um componente vulnerável, e aconselhou os clientes dessas empresas a verificarem se seus produtos são afetados e aplicar as correções disponíveis. Advisories divulgados pela Rockwell,  GE  e Software Toolbox só mencionam, em termos de impacto, falhas (DoS) e vazamentos de dados. No entanto, os ataques do DoS podem ter sérias consequências no caso de sistemas de controle industrial (Industrial Control Systems – ICS).

O segundo dos advisories divulgados na semana passada pela CISA descreve uma vulnerabilidade crítica encontrada por um pesquisador da Cisco Talos no PTC Kepware LinkMaster, uma aplicação Windows que foi projetada para trocar dados entre servidores OPC DA.

A vulnerabilidade foi encontrada na configuração padrão do produto e permite que um invasor local execute um código arbitrário com privilégios NT SYSTEM. A Talos publicou um advisory  para esta falha em 16 de dezembro, um dia antes de a CISA divulgar suas notas.

“As vulnerabilidades foram levantadas e tratadas por meio do programa de Divulgação coordenada de Vulnerabilidade (Coordinated Vulnerability Disclosure – CVD) da PTC – uma peça importante de nossa estratégia de segurança de produtos. Agradecemos nossa parceria com empresas de pesquisa de segurança como Claroty e Cisco Talos e sua disposição de trabalhar com a PTC através do programa CVD. Trabalhar com o CISA nos proporciona um meio para a divulgação de vulnerabilidades de forma responsável,” PTC disse em uma declaração enviada por e-mail.

* Escrito/adaptado a partir de informações disponíveis nas páginas https://www.securityweek.com/critical-flaws-kepware-products-can-facilitate-attacks-industrial-firms, https://us-cert.cisa.gov/ics/advisories/icsa-20-352-02 e https://us-cert.cisa.gov/ics/advisories/icsa-20-352-03.