Weiterer Zero-Day-Exploit für SCADA-System
Das ICS-CERT hat vor Lücken in diversen Produkten zur Steuerung und Visualisierung von Prozessleittechnik gewarnt. Weil ein Hersteller die Lücke nicht nachvollziehen kann oder will, hat der Entdecker nun einen Exploit öffentlich gemacht.
- Daniel Bachfeld
Derzeit häufen sich Meldungen über Sicherheitslücken in Software zur Überwachung von Prozessleittechnik in Industrieanlagen (SCADA). Das auf Kontrollsysteme spezialisierte US-amerikanische ICS-CERT hatte bereits auf mehrere Schwachstellen in Software hingewiesen. Zu den Anfang der Woche gemeldeten 35 Lücken und Zero-Day-Exploits gesellen sich nun eine weitere Lücke und ein weiterer Zero-Day-Exploit.
Der Sicherheitsspezialist Ruben Santamarta hat Code zur Demonstration einer Lücke in der Web-basierten Visualisierungssoftware WebAccess des Herstellers BroadWin veröffentlicht. Der Code soll einen Fehler im RPC-Interface des WebAccess Network Service ausnutzen und sich auch zum Einschleusen von Code missbrauchen lassen. Santamarta hatte vorab das ICS-CERT informiert, das seinerseits mit dem Hersteller Kontakt aufnahm.
Das ICS-CERT schreibt, der Hersteller habe die Schwachstelle nicht nachvollziehen können. Santamarta indes schreibt, der Hersteller bestreite, dass es eine Lücke gebe. Deshalb habe er den Exploit veröffentlicht. Mangels Patch empfiehlt (PDF-Datei) das ICS-CERT BroadWin-Anwendern, ihre Systeme mit einer Firewall zu schützen und für Zugriffe aus der Ferne VPNs einzusetzen. BroadWin-Software wird rund um die Welt eingesetzt und auch vom Anbieter Advantech vertrieben.
Daneben hat das ICS-CERT eine SQL-Injection-Schwachstelle in der Software IntegraXor des malaysischen Herstellers Ecava gemeldet. Angreifer können die Lücke laut Bericht zum Manipulieren der Datenbank und zum Ausführen eigenen Codes missbrauchen. Laut ICS-CERT wird die Software in 38 Ländern eingesetzt, darunter in den USA, Australien, UK, Polen und Kanada. Betroffen sind alle Versionen vor 3.60 (Build 4032), ein Update auf Build 4050 schließt die Lücke. Zuvor hatte der Hersteller zwar bereits das Build 4042 veröffentlicht, dies beseitigte das Problem jedoch nicht vollständig.
(dab)
