CVE-2019-10952

Atakujący wysyła spreparowane żądanie HTTP lub HTTPS do wbudowanego serwera webowego podatnego kontrolera. Żądanie to wywołuje przepełnienie bufora na stosie (stack-based buffer overflow), co prowadzi do uszkodzenia pamięci procesu. W konsekwencji możliwe jest zarówno uczynienie serwera webowego niedostępnym (DoS), jak i przejęcie kontroli nad wykonaniem kodu na urządzeniu (RCE). Przywrócenie działania urządzenia po ataku wymaga wykonania zimnego restartu (cold restart).

Atakujący nieuwierzytelniony i działający zdalnie może całkowicie wyłączyć serwer webowy kontrolera lub przejąć nad nim kontrolę poprzez wykonanie dowolnego kodu, co w środowisku przemysłowym może prowadzić do zakłócenia lub zatrzymania procesów produkcyjnych.

Należy zastosować patche dostępne u producenta zgodnie z referencjami (advisory Rockwell Automation o ID 1075979 oraz ICS-CERT ICSA-19-120-01). Do czasu aktualizacji zaleca się ograniczenie dostępu sieciowego do portów HTTP/HTTPS kontrolerów poprzez segmentację sieci i firewall, a urządzenia ICS należy odizolować od sieci korporacyjnych i internetu.

Rockwell Automation CompactLogix 5370 L1, L2 i L3 Controllers, Compact GuardLogix 5370 Controllers oraz Armor Compact GuardLogix 5370 Controllers — wersje firmware od 20 do 30 i wcześniejsze.

Podatność dotyczy urządzeń przemysłowych klasy ICS/OT — kompromitacja może mieć bezpośrednie konsekwencje dla bezpieczeństwa procesów fizycznych. Odzyskanie urządzenia po ataku DoS lub RCE wymaga wykonania zimnego restartu (cold restart), co dodatkowo wydłuża czas przestoju.