CVE-2021-34578

Atakujący wysyła specjalnie spreparowane żądania HTTP do interfejsu WBM urządzenia WAGO PLC, omijając w ten sposób mechanizm uwierzytelnienia (CWE-287 — nieprawidłowa weryfikacja tożsamości). Podatność dotyczy wielu modeli sterowników WAGO działających na oprogramowaniu sprzętowym w wersjach do FW07 włącznie. Brak wymogu uwierzytelnienia oznacza, że exploit nie wymaga znajomości żadnych poświadczeń — wystarczy dostęp sieciowy do interfejsu WBM.

Atakujący może bez uwierzytelnienia odczytywać oraz modyfikować parametry konfiguracyjne sterownika PLC, co w środowisku przemysłowym może prowadzić do zakłócenia lub przejęcia kontroli nad procesami automatyki. Pełna możliwość zapisu ustawień stwarza ryzyko sabotażu urządzeń i procesów przemysłowych.

Należy zaktualizować oprogramowanie sprzętowe urządzeń do wersji wyższej niż FW07 zgodnie z zaleceniami producenta opisanymi w poradniku CERT VDE (VDE-2020-044). Dodatkowo zaleca się ograniczenie dostępu sieciowego do interfejsu WBM wyłącznie do zaufanych hostów poprzez segmentację sieci i zastosowanie firewall, co ograniczy powierzchnię ataku do czasu wdrożenia patcha.

WAGO 750-890/040-000 (firmware), WAGO 750-890/025-001 (firmware), WAGO 750-890/025-002 (firmware) — wersje oprogramowania sprzętowego do FW07 włącznie

Podatność została opisana w poradniku CERT VDE o numerze VDE-2020-044. Pomimo oceny CVSS 9.8 (CRITICAL), CISA nie umieściła CVE-2021-34578 w katalogu Known Exploited Vulnerabilities.