Một số lỗ hổng bảo mật đã được công bố trong các nền tảng quản lý đám mây liên quan đến 3 công ty cung cấp bộ định tuyến di động công nghiệp, có thể làm lộ cách mạng công nghệ vận hành (OT) khiến chúng bị tấn công.
"Ổ định tuyến di động công nghiệp và cổng kết nối là các thiết bị IIoT cần thiết cung cấp kết nối cho các ứng dụng công nghiệp, hỗ trợ giám sát từ xa, điều khiển và trao đổi dữ liệu trong các ngành công nghiệp khác nhau," OTORIO cho biết.
Với việc triển khai cổng kết nối rộng rãi trong các lĩnh vực cơ sở hạ tầng quan trọng như trạm biến áp, cơ quan tiện ích nước, mỏ dầu và đường ống, nhược điểm trong các thiết bị này có thể dẫn tới hậu quả nghiêm trọng, ảnh hưởng đến tính sẵn có và an toàn quá trình.
Công ty đã phát hiện 11 lỗ hổng cho phép "thực thi mã từ xa và kiểm soát đầy đủ hàng trăm ngàn thiết bị và mạng OT - trong một số trường hợp, thậm chí là những thiết bị không được cấu hình để sử dụng đám mây."
Cụ thể, những thiếu sót nằm trong các giải pháp quản lý dựa trên đám mây do Sierra Wireless, Teltonika Networks và InHand Networks cung cấp để từ xa quản lý và vận hành các thiết bị.
Khai thác thành công các lỗ hổng có thể gây ra nguy cơ nghiêm trọng cho môi trường công nghiệp, cho phép kẻ tấn công né tránh các lớp bảo mật cũng như lấy cắp thông tin nhạy cảm và thực thi mã từ xa trên các mạng nội bộ.
Nguy hiểm hơn, các vấn đề này có thể được sử dụng để truy cập trái phép vào các thiết bị trong mạng và thực hiện các hoạt động độc hại như tắt nguồn với quyền hạn cao hơn.
Điều này được thực hiện thông qua 3 vector tấn công khác nhau có thể được khai thác để xâm nhập và chiếm quyền kiểm soát các thiết bị IIoT được quản lý qua đám mây thông qua các nền tảng quản lý dựa trên đám mây:
Cơ chế đăng ký tài sản yếu (Sierra Wireless): Kẻ tấn công có thể quét các thiết bị chưa được đăng ký kết nối với đám mây, lấy số serial của chúng bằng cách tận dụng công cụ Kiểm tra bảo hành trực tuyến AirVantage, đăng ký chúng vào một tài khoản dưới sự kiểm soát của mình và thực thi các lệnh tùy ý.
Nhược điểm trong cấu hình bảo mật (InHand Networks): Người dùng trái phép có thể tận dụng CVE-2023-22601, CVE-2023-22600 và CVE-2023-22598 (lỗ hổng chèn lệnh) để thực hiện mã từ xa với quyền root, phát lệnh khởi động lại và đẩy các cập nhật firmware.
API và giao diện bên ngoài (Teltonika Networks): Kẻ đe dọa có thể lợi dụng nhiều vấn đề được xác định trong hệ thống quản lý từ xa (RMS) để "tiết lộ thông tin nhạy cảm về thiết bị và thông tin xác thực thiết bị, cho phép thực thi mã từ xa, tiết lộ các thiết bị kết nối được quản lý trên mạng và cho phép mạo danh các thiết bị hợp pháp".
Sau một "nghiên cứu toàn diện" được thực hiện phối hợp với Claroty, đã phát hiện ra sáu lỗ hổng ảnh hưởng đến Teltonika Networks RMS - CVE-2023-32346, CVE-2023-32347, CVE-2023-32348, CVE-2023-2586, CVE-2023-2587 và CVE-2023-2588. Hai lỗ hổng có mức độ nghiêm trọng cao trong firmware của bộ định tuyến RUT của Teltonika - CVE-2023-32349 và CVE-2023-32350 - có thể dẫn đến thực thi mã tùy ý và chèn lệnh.
"Các kẻ tấn công thành công khai thác các bộ định tuyến công nghiệp và thiết bị IoT này có thể gây ra nhiều tác động đến các thiết bị và mạng bị xâm nhập, bao gồm giám sát lưu lượng mạng và đánh cắp dữ liệu nhạy cảm, nắm bắt kết nối internet để chuyển hướng lưu lượng đến các trang web độc hại, hoặc chèn malware vào lưu lượng", các công ty cho biết.
"Ngoài ra, kẻ tấn công cũng có thể khai thác các vấn đề này để truy cập và kiểm soát các thiết bị trong mạng và thay đổi cài đặt bộ định tuyến để thay đổi các cấu hình như cài đặt DNS hoặc quy tắc tường lửa. Các thiết bị công nghiệp bị xâm phạm cũng có thể được sử dụng để tiến hành tấn công đối với các thiết bị hoặc mạng khác."
OTORIO cho biết các thiết bị được quản lý qua đám mây đặt một mức độ rủi ro "rất lớn" cho chuỗi cung ứng và việc bị xâm nhập vào một nhà cung cấp duy nhất có thể tạo ra một backdoor để truy cập vào nhiều mạng OT cùng một lúc.
Sự phát triển này xảy ra sau hơn ba tháng kể từ khi công ty an ninh mạng tiết lộ 38 lỗ hổng bảo mật trong các thiết bị mạng không dây của hệ thống Internet Công nghiệp của vạn vật (IIoT) có thể cung cấp cho kẻ tấn công một đường truyền trực tiếp vào các mạng OT nội bộ và đặt hạ tầng quan trọng vào nguy cơ.
"Khi triển khai các thiết bị IIoT trở nên phổ biến hơn, quan trọng là nhận thức rằng các nền tảng quản lý đám mây của chúng có thể là mục tiêu của các hacker", nhà nghiên cứu bảo mật Roni Gavrilov nói. "Một nền tảng nhà cung cấp IIoT duy nhất bị khai thác có thể là một 'điểm trục' cho các kẻ tấn công, truy cập hàng ngàn môi trường cùng một lúc."
