Технологическая компания Schneider Electric выпустила обновление, закрывающее ряд уязвимостей в продукте Wonderware Information Server (WIS). Ошибки могли привести к удаленному выполнению вредоносного кода, раскрытию важных данных или перехвату сессий и аутентификационных данных.
Проблемы безопасности были обнаружены в ходе проведения анализа защищенности АСУ ТП. В исследовании участвовали эксперты Positive Technologies Тимур Юнусов, Илья Карпов, Сергей Гордейчик, Алексей Осипов и Дмитрий Серебрянников.
WIS входит в состав унифицированного решения для построения SCADA- и HMI-систем ArchestrA System Platform, которое используется на атомных электростанциях, химических заводах и других критически важных объектах.
Уязвимости CVE-2014-2381, CVE-2014-2380, CVE-2014-5397, CVE-2014-5398 и CVE-2014-5399 обнаружены в WIS 4.0 SP1 Portal, а также в версиях 4.5, 5.0 и 5.5 Portal. Производитель рекомендует всем пользователям систем, содержащих уязвимости, обновить их до версии 5.5, а затем установить патч, исправляющий ошибки безопасности (скачать его можно на специальной странице на сайте продукта).
Специалисты исследовательского центра Positive Technologies не в первый раз находят ошибки безопасности в продуктах компании Invensys, которая является разработчиком WIS (недавно компания была куплена Schneider Electric). В июне 2013 года Invensys выпустила обновление безопасности, закрывающее уязвимости в WIS версий 4.0 SP1 и 4.5 Portal, а также WIS 5.0 Portal. Кроме того, в начале мая 2013 года был выпущен патч, устраняющий уязвимость в Invensys Win-XML Exporter, воспользовавшись которой злоумышленник мог повлиять на доступность и конфиденциальность данных, обрабатываемых в системе.
Проверки на наличие выявленных в WIS уязвимостей добавлены в базу знаний системы анализа защищенности и соответствия стандартам MaxPatrol. Часть этих проблем безопасности обнаруживается эвристическими механизмами MaxPatrol и без обновления базы знаний продукта.