Die Sicherheitsforscher von Team82, der Forschungsabteilung des Spezialisten für die Sicherheit von cyberphysischen Systemen (CPS) Claroty, haben zwei Schwachstellen in Remote-Terminal-Unit (RTU)-Produkten von Red Lion und im Sixnet-Universal-Protokoll entdeckt. Die Sicherheitslücken betreffen die RTUs „SixTRAK“ und „VersaTRAK“ und ermöglichen es einem nicht authentifizierten Angreifer, Befehle mit Root-Rechten auszuführen und so Geräte zu übernehmen. Die Spezialisten von Team82 raten den Benutzern, den Zugriff über TCP auf die betroffenen RTUs zu blockieren. Anwendern wird zudem dringend empfohlen, die von Red Lion zur Verfügung gestellten Patches zu installieren.
Die Sixnet-Remote-Terminal-Units (RTUs) von Red Lion bieten fortschrittliche Automatisierungs-, Steuerungs- und Datenerfassungsfunktionen und sind für industrielle Automatisierungs- und Steuerungssysteme konzipiert. Die Produkte werden vor allem in den Bereichen Fabrikautomation, Energie, Versorgung, Transport und Wasser/Abwasser eingesetzt. Um die Sixnet-Geräte zu konfigurieren und zu visualisieren, hat Red Lion die Software-Sixnet-IO-Tool-Kit entwickelt. Mit diesem Windows-Dienstprogramm können Sixnet-E/A-Systeme, einschließlich der RTU, gestaltet, konfiguriert und überwacht werden. Es kommuniziert mit den Geräten über das proprietäre Sixnet Universal-Protokoll über den UDP-Port 1594. Da das Sixnet-Universal-Protokoll viele sensible Funktionen einschließlich der Codeausführung implementiert, wurde eine Authentifizierungsschicht hinzugefügt, um das System zu schützen.
Die Sicherheitsforscher von Team82 fanden jedoch einen Weg, die Authentifizierung via TCP zu umgehen. Dadurch können Angreifer Befehle mit höchsten Berechtigungen, d. h. im Root-Kontext, ausführen. Dies ist besonders gefährlich: Statt nur begrenzte und spezifische Funktionen, die Remote-Benutzer steuern dürfen, erhalten Angreifer die vollständige Kontrolle über das Gerät und können so Prozesse stören oder manipulieren.
Red Lion hat Patches für beide Schwachstellen in seinen Fernterminalgeräten „SixTRAK“ und „VersaTRAK“ bereitgestellt. Es ist von entscheidender Bedeutung, dass Unternehmen die vom Hersteller bereitgestellten Updates installieren, um diese Sicherheitslücken zu schließen.
Info: Weitere Informationen, Hintergründe und technische Details finden sich im entsprechenden Blog-Beitrag von Claroty.
