Invensys устранила уязвимости, обнаруженные экспертами PositiveTechnologies
Технологическая компания Invensys выпустила обновление, закрывающее ряд уязвимостей, в продукте Wonderware Information Server (WIS). Ошибки могли привести к удаленному выполнению вредоносного кода, раскрытию важных данных или перехвату сессий и аутентификационных данных, сообщили CNews в компании Positive Technologies.
Проблемы безопасности были обнаружены в ходе проведения работ по анализу защищенности АСУ ТП. В исследовании участвовали эксперты Positive Technologies Денис Баранов, Глеб Грицай, Вячеслав Егошин, Евгений Ермаков, Илья Карпов, Никита Михалевский, Алексей Осипов, Иван Полиянчук, Дмитрий Серебрянников и Тимур Юнусов.
Wonderware Information Server входит в состав унифицированного решения для построения SCADA- и HMI-систем Archestra System Platform, которое используется на атомных электростанциях, химических заводах и других критически важных объектах (КВО).
Уязвимости CVE-2013–0684, CVE-2013–0685, CVE-2013–0686 и CVE-2013–0688 обнаружены в WIS 4.0 SP1 и 4.5 — Portal, а также WIS 5.0 — Portal. Скачать патч, исправляющий эти ошибки безопасности, можно на специальной странице для загрузки программного обеспечения Invensys.
«Уязвимости были обнаружены в ходе аудита реальных систем АСУ ТП, обслуживающих критически важные объекты инфраструктуры. Следует отдать должное специалистам компании Invensys, которые оперативно отреагировали на уведомление об обнаруженных проблемах, подготовили и протестировали обновление», — отметил заместитель генерального директора Positive Technologies Сергей Гордейчик.
Эксперты исследовательского центра Positive Technologiesне в первый раз находят ошибки безопасности в продуктах компании Invensys. В начале мая 2013 г. был выпущен патч, закрывающий уязвимость в Invensys Win-XML Exporter, воспользовавшись которой злоумышленник мог повлиять на доступность и конфиденциальность данных, обрабатываемых в системе.
Проверки на наличие выявленных в Wonderware Information Server, Invensys Archestra System Platform и Wonderware Intouch уязвимостей добавлены в базу знаний системы анализа защищенности и соответствия стандартам MaxPatrol. Часть этих проблем безопасности обнаруживается эвристическими механизмами MaxPatrol и без обновления базы знаний продукта, подчеркнули в Positive Technologies.
© CNews
