CVE-2019-18261

Brak ochrony przed atakami brute force w sterownikach PLC Omron CS/CJ/NJ

CVSS 9.8v3.1pub. 2019-12-16upd. 2024-11-21

Sterowniki PLC Omron z serii CS, CJ i NJ we wszystkich wersjach nie implementują wystarczających mechanizmów ograniczających liczbę nieudanych prób uwierzytelnienia w krótkim czasie. Podatność ta czyni urządzenia przemysłowe podatnymi na ataki brute force, co w środowiskach OT/ICS może prowadzić do poważnych konsekwencji.

▸ Pokaż oryginał (EN)

In Omron PLC CS series, all versions, Omron PLC CJ series, all versions, and Omron PLC NJ series, all versions, the software does not implement sufficient measures to prevent multiple failed authentication attempts within in a short time frame, making it more susceptible to brute force attacks.

🤖 Analiza AI

Jak działa

Oprogramowanie sterowników PLC nie wymusza żadnych ograniczeń (takich jak blokada konta, opóźnienia między próbami czy limity liczby prób) po wielokrotnych nieudanych próbach logowania w krótkim czasie. Atakujący może w sposób zautomatyzowany i nieograniczony testować różne kombinacje danych uwierzytelniających. Brak mechanizmu ochrony przed tego rodzaju atakami (CWE-307) sprawia, że uzyskanie dostępu do urządzenia jest kwestią czasu i mocy obliczeniowej atakującego.

Skutki

Skuteczny atak brute force może umożliwić atakującemu nieuprawniony dostęp do sterownika PLC, a w konsekwencji — przejęcie kontroli nad procesami przemysłowymi, ich zakłócenie lub zatrzymanie, co zagraża ciągłości produkcji i bezpieczeństwu fizycznemu instalacji.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (poradnik ICS-CERT ICSA-19-346-03). Do czasu wdrożenia aktualizacji zaleca się segmentację sieci, ograniczenie dostępu do sterowników PLC wyłącznie do zaufanych hostów oraz monitorowanie logów pod kątem powtarzających się prób uwierzytelnienia.