Kritische Lücken im Automatisierungs-Baustein Siemens LOGO!
(Bild: Siemens)
Ein offener Port und alle Passwörter lassen sich darüber auslesen – aber Updates gibt es keine.
Automatisierungs-Bausteine der LOGO-Serie von Siemens weisen mehrere, teils kritische Schwachstellen auf. Über diese kann im Prinzip jeder über den standardmäßig offenen TCP-Port 10005 alle gespeicherten Passwörter auslesen.
Der betroffene Siemens LOGO! 8 ist eine kleine speicherprogrammierbare Steuerung (programmable logic controller, kurz PLC). Er wird für einfache Automatisierungsaufgaben eingesetzt. Die Fehler entdeckt hat der IT-Sicherheitsexperte Manuel Stotz von SySS. Hersteller Siemens bestätigt die Probleme und hat dazu das Security Advisory SSA-542701 [1] herausgeben. Demnach sind alle LOGO!8-Versionen von drei Schwachstellen betroffen.
Passwörter auslesen und System umkonfigurieren
Die drei Lücken ermöglichen in Kombination letztlich das Auslesen aller Passwörter über den TCP-Port 10005. Das liegt unter anderem daran, dass sicherheitsrelevante Daten mit einem fest einkodierten 3DES-Schlüssel verschlüsselt sind, der sich etwa aus der Software LOGO! Soft Comfort extrahieren lässt. Diese Software spricht über den TCP-Port 10005 mit dem PLC und ruft dort etwa die Funktion GetProfile auf. Ein Angreifer könnte das Gerät aber via Port 10005 auch umkonfigurieren, indem er das Gegenstück zum Setzen des Profils benutzt. Die Entdecker von SySS beschreiben die einzelnen Lücken in einem Blog-Beitrag [2] und demonstrieren sogar in einem Video, wie sich diese ausnutzen lassen.
Keine Updates
Zum Schutz empfiehlt Siemens ein "Defense-in-Depth-Konzept" und verweist dazu auf Schutzmaßnahmen, die im Handbuch weiter ausgeführt sind. Im Wesentlichen wird das darauf hinauslaufen, dass der Betreiber dafür verantwortlich ist, unautorisierte Zugriffe zu verhindern; Updates stellt Siemens jedenfalls nicht in Aussicht.
Diese Vorgehensweise von Siemens erinnert fatal an die Zeit vor 20 Jahren, als Microsoft teils kritische Windows-Sicherheitslücken einfach als "Macht was es soll" vom Tisch gewischt und die Verantwortung auf den Anwender abgeschoben hat. Wer nach einem konkreten Beispiel dafür sucht, warum die Welt der intelligenten Dinge, also das Internet of Things, auf eine Katastrophe zusteuert, wird hier fündig. (ju [3])
URL dieses Artikels:
https://www.heise.de/-4436078
Links in diesem Artikel:
[1] https://cert-portal.siemens.com/productcert/pdf/ssa-542701.pdf
[2] https://www.syss.de/pentest-blog/2019/syss-2019-012-syss-2019-013-syss-2019-014-mehrere-schwachstellen-in-siemens-logo-8-plc/
[3] mailto:ju@ct.de
Copyright © 2019 Heise Medien