CVE-2019-10712

W oprogramowaniu układowym (firmware) urządzeń WAGO zakodowane są na stałe nieudokumentowane dane dostępowe do interfejsu Web-GUI. Dostęp ten nie jest opisany w oficjalnej dokumentacji producenta i nie może być zmieniony ani wyłączony przez administratora w standardowy sposób. Atakujący posiadający wiedzę o tych danych uwierzytelniających może zdalnie, przez sieć, uzyskać dostęp do panelu zarządzania urządzeniem bez żadnych dodatkowych uprawnień czy interakcji użytkownika.

Atakujący może uzyskać pełny, nieautoryzowany dostęp do interfejsu zarządzania urządzeniem przemysłowym (PLC), co może prowadzić do odczytu i modyfikacji konfiguracji, zakłócenia procesów sterowania oraz naruszenia dostępności, integralności i poufności systemu.

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://cert.vde.com/de-de/advisories/vde-2019-008). Dodatkowo zaleca się izolację urządzeń WAGO od sieci niezaufanych, zastosowanie firewalla oraz ograniczenie dostępu do Web-GUI wyłącznie do autoryzowanych adresów IP do czasu wdrożenia poprawki.

Urządzenia WAGO serii 750-88x (modele: 750-330, 750-352, 750-829, 750-831, 750-852, 750-880, 750-881, 750-882, 750-884, 750-885, 750-889) oraz serii 750-87x (modele: 750-830, 750-849, 750-871, 750-872, 750-873) — wersje firmware wskazane w referencjach producenta (cert.vde.com).

Podatność zgłoszona i opublikowana przez CERT@VDE (VDE-2019-008) w dniu 2019-05-07. Dotyczy urządzeń przemysłowych klasy PLC stosowanych w środowiskach OT/ICS, co zwiększa potencjalne ryzyko operacyjne.