CVE-2020-6990

Hardkodowany klucz kryptograficzny w sterownikach Rockwell Automation MicroLogix

CVSS 9.8v3.1pub. 2020-03-16upd. 2026-06-03

Sterowniki Rockwell Automation MicroLogix 1400 i MicroLogix 1100 oraz oprogramowanie RSLogix 500 zawierają klucz kryptograficzny zakodowany na stałe w pliku binarnym, służący do ochrony hasła konta. Podatność ta umożliwia zdalnemu atakującemu uzyskanie nieautoryzowanego dostępu do sterownika, co w środowiskach przemysłowych stanowi poważne zagrożenie dla bezpieczeństwa operacyjnego.

▸ Pokaż oryginał (EN)

Rockwell Automation MicroLogix 1400 Controllers Series B v21.001 and prior, Series A, all versions, MicroLogix 1100 Controller, all versions, RSLogix 500 Software v12.001 and prior, The cryptographic key utilized to help protect the account password is hard coded into the RSLogix 500 binary file. An attacker could identify cryptographic keys and use it for further cryptographic attacks that could ultimately lead to a remote attacker gaining unauthorized access to the controller.

🤖 Analiza AI

Jak działa

Klucz kryptograficzny używany do zabezpieczenia hasła konta jest zakodowany na stałe (hard coded) w pliku binarnym oprogramowania RSLogix 500. Atakujący może wyodrębnić ten klucz z pliku binarnego poprzez jego analizę (np. inżynierię wsteczną). Posiadając klucz, atakujący może przeprowadzić dalsze ataki kryptograficzne, w tym odszyfrowanie lub odtworzenie hasła konta. W efekcie możliwe jest uzyskanie nieautoryzowanego, zdalnego dostępu do sterownika PLC.

Skutki

Atakujący może uzyskać nieautoryzowany, zdalny dostęp do sterownika MicroLogix, co potencjalnie pozwala na przejęcie kontroli nad procesami przemysłowymi, modyfikację logiki sterowania lub zakłócenie działania infrastruktury OT.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (ICSA-20-070-06 opublikowane przez ICS-CERT). Zaleca się również ograniczenie dostępu sieciowego do sterowników MicroLogix za pomocą firewall oraz segmentację sieci OT od sieci korporacyjnej i internetu.

Kogo dotyczy

Rockwell Automation MicroLogix 1400 Controllers Series B w wersji v21.001 i wcześniejszych, MicroLogix 1400 Series A (wszystkie wersje), MicroLogix 1100 Controller (wszystkie wersje), RSLogix 500 Software w wersji v12.001 i wcześniejszych

Uwagi

Podatność sklasyfikowana jako CWE-321 (Use of Hard-coded Cryptographic Key) oraz CWE-798 (Use of Hard-coded Credentials). Dotyczy infrastruktury przemysłowej (ICS/SCADA) — potencjalny wpływ na systemy sterowania procesami w środowiskach produkcyjnych i infrastrukturze krytycznej.

CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Rockwellautomation Micrologix 1100
HW
Rockwellautomation
wszystkie wersje
Rockwellautomation Micrologix 1100 Firmware
OS
Rockwellautomation
wszystkie wersje
Rockwellautomation Micrologix 1400
HW
Rockwellautomation
wszystkie wersje
Rockwellautomation Micrologix 1400 A Firmware
OS
Rockwellautomation
wszystkie wersje
Rockwellautomation Micrologix 1400 B Firmware
OS
Rockwellautomation
≤ 21.001
Rockwellautomation Rslogix 500
APP
Rockwellautomation
≤ 12.001