Rockwell Automation vá lỗi bảo mật nghiêm trọng trên bộ điều khiển ICS và phần mềm

Rockwell Automation đã thông báo cho khách hàng vào thứ Ba rằng các bản vá lỗi hiện đã có sẵn để khắc phục nhiều lỗ hổng bảo mật ảnh hưởng đến các bộ điều khiển Logix và CompactLogix, bộ điều hợp Ethernet/IP hai cổng Flex I/O, phần mềm truyền thông công nghiệp RSLinx và bộ phần mềm tự động hóa FactoryTalk.

Rockwell Automation

Trong phiên bản FactoryTalk Historian Site Edition, tập đoàn này đã vá ba lỗ hổng có mức độ nghiêm trọng cao và nghiêm trọng (critical). Các lỗ hổng này có thể bị khai thác để bỏ qua xác thực và phát động các cuộc tấn công từ chối dịch vụ (DoS).

Công ty cho biết sản phẩm FactoryTalk Analytics PavilionX bị ảnh hưởng bởi một vấn đề ủy quyền API không đúng cách với mức độ nghiêm trọng cao. Vấn đề này "có thể cho phép một tác nhân chưa được ủy quyền thực hiện các thao tác đặc quyền, bao gồm quản lý người dùng/vai trò và các hành động quản trị khác".

Các lỗi ảnh hưởng đến bộ điều khiển và thiết bị I/O

Đối với một số bộ điều khiển CompactLogix, ControlLogix, Compact GuardLogix và GuardLogix, nhà cung cấp đã khắc phục một lỗ hổng DoS nghiêm trọng có thể gây ra lỗi lớn không thể phục hồi, yêu cầu phải sử dụng một chương trình khôi phục đặc biệt. Một số bộ điều khiển CompactLogix cũng bị ảnh hưởng bởi hai vấn đề DoS khác.

Các bộ điều hợp Ethernet/IP hai cổng Flex I/O bị ảnh hưởng bởi một lỗi DoS và một lỗ hổng nghiêm trọng (critical) cho phép kẻ tấn công chưa được xác thực thay đổi mật khẩu giao diện web của thiết bị. Điều này có thể dẫn đến truy cập trái phép và chiếm đoạt tài khoản.

ICS Security

Trong sản phẩm RSLinx, Rockwell đã vá một lỗ hổng DoS cũ được giới thiệu do việc sử dụng thành phần của bên thứ ba.

Đánh giá rủi ro và khuyến nghị

Các cảnh báo ICS của Rockwell cũng được CISA (Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ) phân phối vào thứ Ba, tuy nhiên cơ quan an ninh mạng này không công bố cảnh báo riêng cho các lỗ hổng trong FactoryTalk Historian.

Gần đây, công ty đã xác nhận việc khai thác thực tế (in-the-wild) của một lỗ hổng cũ được theo dõi là CVE-2021-22681. Tuy nhiên, các cảnh báo mới nhất cho thấy chưa có lỗ hổng bảo mật nào trong số các vấn đề mới được khắc phục trở thành mục tiêu của các tác nhân đe dọa tại thời điểm này.

Các tổ chức sử dụng các thiết bị và phần mềm nói trên được khuyến nghị cập nhật ngay lập tức lên phiên bản mới nhất để ngăn chặn các rủi ro tiềm ẩn.