CVE-2015-6473

Podatność wynika z braku mechanizmu privilege separation w oprogramowaniu układowym urządzeń WAGO IO. Brak rozdzielenia poziomów uprawnień oznacza, że procesy lub użytkownicy mogą działać z nadmiernymi uprawnieniami bez wymaganej eskalacji. W konsekwencji nie istnieje skuteczna bariera ograniczająca zakres działań nieautoryzowanego podmiotu uzyskującego dostęp do urządzenia.

Atakujący może uzyskać pełny dostęp do urządzenia, w tym możliwość odczytu i modyfikacji danych konfiguracyjnych oraz zakłócenia dostępności systemu sterowania. W środowisku przemysłowym może to prowadzić do przejęcia kontroli nad procesami fizycznymi obsługiwanymi przez sterownik PLC.

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się dodatkowo ograniczenie dostępu sieciowego do urządzeń WAGO IO poprzez segmentację sieci OT/IT, stosowanie firewall oraz wyłączenie zbędnych interfejsów sieciowych.

WAGO IO 750-849 w wersji firmware 01.01.27 oraz WAGO IO 750-881 w wersji firmware 01.02.05. Podatność dotyczy również urządzeń z serii WAGO 758-870 wymienionych w referencjach producenta.

Podatność została publicznie ujawniona w marcu 2016 roku za pośrednictwem listy Full Disclosure oraz serwisu PacketStorm, co wskazuje na istnienie publicznego opisu technicznego problemu. CVE zostało opublikowane formalnie dopiero w sierpniu 2017 roku.