Найдены критические уязвимости в программах удалённого доступа

08.10.2020

Исследователи из компании Otorio нашли несколько критических уязвимостей в системах удалённого доступа, произведённых компаниями B&R Automation и mbConnect Line. Эти уязвимости могут быть использованы для проникновения в производственные отделы компаний, использующих данное ПО, а также для взлома внутренних сетей, что позволит изменять или воровать очень важные данные, например, представляющие коммерческую тайну.

Что касается B&R Automation, в их продуктах под названием SiteManager и GateManager нашли шесть критических утечек. Эти продукты являются частью программного комплекса под названием Secure Remote Maintenance Suite.

mbConnect24, производимый компанией mbConnect Line, в котором тоже нашли уязвимости, в основном используется для удалённого подключения к промышленным активам.

Otorio анонсировала уязвимости 30 сентября, детали доступны на веб-сайте Агентства кибербезопасности и безопасности инфраструктуры Министерства внутренней безопасности США. Исследователи описали важность систем, в которых нашли уязвимости, следующим образом: «Эти системы позволяют специалистам удаленно управлять промышленным оборудованием, и обслуживать его из любой точки мира. Вместе они обслуживают тысячи объектов в таких отраслях, как автомобилестроение, энергетика, нефть и газ, металл, упаковка, судоходство и др.»

В Otorio отметили, что через найденные уязвимости злоумышленники могут просматривать конфиденциальную информацию других пользователей, которая находится на том же сервере, что и злоумышленники. Эта информация может быть использована для целевых атак на организации и их производственные системы.

Как заявили исследователи, «Злоумышленник также может инициировать повторный перезапуск как GateManager, так и SiteManager, что в конечном итоге приведет к потере доступности и остановке производства».

Уязвимости, найденные в программе mbConnect24, с момента открытия были исправлены. Они позволяли злоумышленникам загружать в систему самодельные файлы аутентификации.