CVE-2017-7905

Słabe szyfrowanie haseł w przekaźnikach ochronnych GE Multilin

CVSS 9.8v3.0pub. 2017-06-30upd. 2026-05-13

W przekaźnikach ochronnych GE Multilin wykryto poważną podatność polegającą na stosowaniu słabego szyfrowania haseł użytkowników. Zaszyfrowane hasła były tworzone z nielosowym wektorem inicjalizacji, co czyni je podatnymi na ataki słownikowe, a sam ciphertext można uzyskać bezpośrednio z urządzenia.

▸ Pokaż oryginał (EN)

A Weak Cryptography for Passwords issue was discovered in General Electric (GE) Multilin SR 750 Feeder Protection Relay, firmware versions prior to Version 7.47; SR 760 Feeder Protection Relay, firmware versions prior to Version 7.47; SR 469 Motor Protection Relay, firmware versions prior to Version 5.23; SR 489 Generator Protection Relay, firmware versions prior to Version 4.06; SR 745 Transformer Protection Relay, firmware versions prior to Version 5.23; SR 369 Motor Protection Relay, all firmware versions; Multilin Universal Relay, firmware Version 6.0 and prior versions; and Multilin URplus (D90, C90, B95), all versions. Ciphertext versions of user passwords were created with a non-random initialization vector leaving them susceptible to dictionary attacks. Ciphertext of user passwords can be obtained from the front LCD panel of affected products and through issued Modbus commands.

🤖 Analiza AI

Jak działa

Mechanizm szyfrowania haseł w urządzeniach GE Multilin wykorzystuje stały, nielosowy wektor inicjalizacji (IV) podczas tworzenia ciphertextu haseł użytkowników. Brak losowości IV sprawia, że te same hasła zawsze dają identyczny ciphertext, co drastycznie ułatwia przeprowadzenie ataków słownikowych (dictionary attacks). Zaszyfrowane hasła (ciphertext) mogą zostać pozyskane przez atakującego na dwa sposoby: poprzez odczyt z przedniego wyświetlacza LCD urządzenia lub za pomocą wydanych komend protokołu Modbus. Po uzyskaniu ciphertextu atakujący może go poddać atakowi słownikowemu i odtworzyć oryginalne hasło.

Skutki

Atakujący, który uzyska ciphertext hasła i skutecznie przeprowadzi atak słownikowy, może przejąć dane uwierzytelniające użytkownika, a następnie uzyskać nieautoryzowany dostęp do przekaźnika ochronnego. W środowisku przemysłowym (ICS/OT) może to prowadzić do manipulacji konfiguracją urządzenia, zakłócenia ochrony infrastruktury energetycznej lub odcięcia zabezpieczeń krytycznych zasobów.

Mitygacja

Należy zaktualizować firmware do wersji eliminujących podatność: SR 750 i SR 760 do wersji 7.47 lub nowszej, SR 469 i SR 745 do wersji 5.23 lub nowszej, SR 489 do wersji 4.06 lub nowszej. Dla urządzeń SR 369 oraz Multilin URplus (D90, C90, B95), dla których nie wskazano wersji patcha, należy zastosować patche dostępne u producenta zgodnie z referencjami (ICSA-17-117-01A). Dodatkowo zaleca się ograniczenie fizycznego dostępu do panelu LCD urządzeń oraz segmentację sieci OT z restrykcją dostępu do komunikacji Modbus.

Kogo dotyczy

GE Multilin SR 750 Feeder Protection Relay (firmware przed wersją 7.47), SR 760 Feeder Protection Relay (firmware przed wersją 7.47), SR 469 Motor Protection Relay (firmware przed wersją 5.23), SR 489 Generator Protection Relay (firmware przed wersją 4.06), SR 745 Transformer Protection Relay (firmware przed wersją 5.23), SR 369 Motor Protection Relay (wszystkie wersje firmware), Multilin Universal Relay (firmware w wersji 6.0 i wcześniejsze), Multilin URplus D90/C90/B95 (wszystkie wersje)

Uwagi

Podatność dotyczy środowisk przemysłowych (ICS/OT) — przekaźników ochronnych stosowanych w infrastrukturze energetycznej. Informacja o podatności została opublikowana przez ICS-CERT w poradniku ICSA-17-117-01A. Ciphertext haseł jest dostępny zarówno lokalnie (panel LCD) jak i zdalnie (Modbus), co zwiększa powierzchnię ataku.