Компания Digital Security, один из специалистов по безопасности которой два с половиной года назад обнаружил уязвимость в библиотеке HART Device Type Manager, разрабатываемой компанией CodeWrights и используемой в HART-оборудовании Endress+Hauser, сообщила о закрытии проблемы.
Уязвимость была связана с обработкой компонента HART longtag, который используется в поле Endress+Hauser и CodeWrights HART Comm DTM. С помощью этой «дыры» в безопасности злоумышленники могли осуществить XML-иньекцию кода и атаку типа SSRF, среди ключевых последствий которых стоит назвать раскрытие конфиденциальных данных, отказ в обслуживании, сканирование портов.
Александр Большев оперативно уведомил Endress+Hauser об уязвимости еще в мае 2013 года, однако процесс ее закрытия уязвимости начался лишь после того, как уведомление о проблеме было направлено в The Industrial Control Systems Cyber Emergency Response Team в ноябре 2014 года. В конце сентября 2015 года на сайте ICS CERT появилось сообщение о проблеме безопасности, получившей идентификатор CVE-2015-6463b, с рекомендацией по ее устранению. В частности, в обращении организации-регулятора говорится о том, что воздействию уязвимости подвержены все HART DTM-компоненты, которые базируются на технологии Fieldcare и CodeWrights HART Comm DTM. Список потенциально уязвимых устройств довольно велик, а потому NCCIC/ICS-CERT рекомендует оценить влияние описанной проблемы всем компаниям, использующим указанную технологию, как с точки зрения архитектуры, так и с точки зрения сетевое окружения и продуктов. Компаниям, применяющим FieldCare или CodeWright HART Comm DTM, рекомендуется как можно скорее обновить свое программное обеспечение до последней версии.
