دلتا آسیب‌پذیری‌های محصولات PLC و HMI را وصله کرد

دلتا، شرکت الکترونیکی مستقر در تایوان چندین آسیب‌پذیری را در دو محصول خودکارسازی صنعتی این شرکت وصله کرد، از جمله یک آسیب‌پذیری که می‌تواند برای اجرای کد از راه دور مورد بهره‌برداری قرار بگیرد.

یک پژوهش‌گر که از نام کاربری برخط Axt استفاده می‌کند، از طریق ZDI ترند میکرو و ICS-CERT به دلتا اطلاع داد که محصول WPLSoft آن، که یک نرم‌افزار برنامه‌نویسی برای کنترل‌کننده‌های منطقی قابل برنامه‌ریزی (PLC) است، تحت تاثیر چندین نوع آسیب‌پذیری قرار دارد.

 

مشاوره‌نامه‌ی ICS-CERT، سه نوع آسیب‌پذیری را توصیف می‌کند که می‌تواند باعث اجرای کد دلخواه در محتوای فرآیند فعلی و یا راه‌اندازی حملات منع سرویس توزیع‌شده، به طور خاص سرریز بافر مبتنی‌بر پشته، سرریز بافر مبتنی‌بر هیپ، و اشکالات نوشتن خارج از محدوده شود. این حفره‌های امنیتی که از درجه‌ی امنیتی بالایی برخوردارند با شناسه‌های CVE-2018-7494، CVE-2018-7507، و CVE-2018-7509 ردیابی می‌شوند.

به گفته‌ی ZDI این آسیب‌پذیری‌ها به نحوه‌ی تجزیه‌ی پرونده‌های dvp توسط این برنامه مربوط هستند و یک نفوذگر می‌تواند با فریب کاربر برای باز کردن یک صفحه‌ی وب یا پرونده‌ی جعلی از این اشکال‌ها بهره‌برداری کند.

ZDI گفت که این حفره‌های امنیتی را در فوریه‌ی سال ۲۰۱۷ میلادی از طریق ICS-CERT به دلتا گزارش داده است. مشاوره‌نامه‌ی این شرکت نشان می‌دهد که این فروشنده در تابستان گذشته وصله‌هایی را منتشر کرد، اما نتوانست به طور مناسبی این آسیب‌پذیری‌ها را رفع کند.

ICS-CERT این هفته اعلام کرد که دلتا این آسیب‌پذیری‌ها با انتشار نسخه‌ی ۲.۴۶.۰ نرم‌افزار WPLSoft وصله کرده است؛ بر اساس وب‌گاه این فروشنده وصله‌ها از تاریخ ۲ فوریه در دسترس قرار گرفته‌اند.

 

در مشاوره‌نامه‌ی جداگانه‌ای که در هفته‌ی جاری توسط ICS-CERT منتشر شد، یک آسب‌پذیری با درجه‌ی اهمیت متوسط توصیف شده است که توسط پژوهش‌گری به نام Ghirmay Desta در محصول رابط انسان-دستگاه DOPSoft دلتا کشف شده است.

این آسیب‌پذیری یک سرریز بافر مبتنی‌بر پشته است و به نحوه‌ی پردازش پرونده‌های dop یا dpb مربوط می‌شود، و می‌تواند امکان اجرای کد از راه دور را فراهم کند. این مسأله نسخه‌ی ۴.۰۰.۰۱ و نسخه‌های قدیمی‌تر محصول DOPSoft را تحت تاثیر قرار می‌دهد، و با انتشار نسخه ی ۴.۰۰.۰۴ در اول مارس سال جاری وصله شد.

این آسیب‌پذیری نیز از طریق ZDI به دلتا گزارش شد، اما این شرکت هنوز مشاوره‌نامه‌ای در این باره منتشر نکرده است. در وب‌گاه ZDI در مجموع ۱۷ مشاوره‌نامه‌ وجود دارد که آسیب‌پذیری‌هایی که توسط Desta در محصول DOPSoft در اکتبر ۲۰۱۷ میلادی کشف شده‌اند، را توصیف می‌کنند. سال گذشته، این پژوهش‌گر همچنین نقاط ضعفی را در محصول PMSoft دلتا، که یک ابزار توسعه برای کنترل‌کننده‌های حرکت است، پیدا کرده بود.

اخیرا ZDI توسط یک پژوهش‌گر ناشناس از چهار آسیب‌پذیری مهم در یک محصول دلتا (که هنور نام آن مشخص نشده است) مطلع شده است.

این‌که فروشنگان سامانه‌های کنترل صنعتی برای وصله‌ی آسیب‌پذیری‌ها صدها روز وقت صرف کرده باشند، مسأله‌ی غیرمعمولی نیست. یک گزارش که سال گذشته توسط ZDI منتشر شد، نشان می‌دهد که متوسط زمان ارائه‌ی وصله برای آسیب‌پذیری‌های  SCADA  ۱۵۰ روز بوده است.

 

0
هنوز هیچ ستاره‌ای موجود نیست.

افزودن یک دیدگاه جدید